Kaip padaryti HTTPS pirmąja užklausa per VPN

Naršyklė, kuri pirmiausia įveda http:// ir nukreipiama į https:// po to, kai peradresavimas jau išsiuntė vieną užklausą, o VPN to nekeičia. Tunelis apsaugo koją nuo kliento iki išėjimo mazgo; jis neužšifruoja nieko virš transportavimo sluoksnio, todėl stebėtojas tarp išėjimo ir pradžios vis tiek mato paprasto teksto šuolį. Pirmoji HTTPS užklausa yra kliento pusės pakeitimas, kurį sudaro trys dalys: tikras HTTPS adresas, naršyklės atnaujinimo režimas ir pačios svetainės politika. Toliau pateikti veiksmai yra mano naudojama tvarka, kiekvienas su čekiu, kuris nurodo, ar tai užtruko.

1 veiksmas: patvirtinkite, kas iš tikrųjų yra pirmoji užklausa

Prieš ką nors keisdami pažiūrėkite, ką siunčia naršyklė. Atidarykite tinklo skydelį, kuriame puslapis įkeltas iš šaltosios talpyklos, ir perskaitykite pirmąją eilutę: jei schema yra http, o būsena yra 301 arba 308, viskas po tos eilutės yra antra užklausa. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com atkuria tą pačią seką už naršyklės ribų ir išspausdina URL, į kurį atsidūrėte.

Galimi du rezultatai ir juos reikia taisyti skirtingai. Jei svetainė teikia HTTPS tame pačiame pagrindiniame kompiuteryje, pataisymas yra sustabdyti HTTP formos publikavimą: atnaujinkite žymę, wiki nuorodą, darbalaukio nuorodą ir el, pašto šabloną, kurį spusteli žmonės. Jei svetainė iš viso neaptarnauja HTTPS, jokie naršyklės nustatymai jo nesukurs ir sąžiningas atsakymas yra tas, kad problema yra paskirties vieta. Neaiškinkite antrojo atvejo su išimtimi, nes sertifikato išimtis paskyros puslapyje paverčia transporto problemą į kredencialų problemą. Prieš paliesdami nustatymą užsirašykite, kuriuo atveju esate.

2 veiksmas: įjunkite naršyklės tik HTTPS režimą

Naujinimo režimas yra antroji dalis, o režimai nėra keičiami. Prieš įjungdami patikrinkite, ką jūsų veikia: tyliai atnaujinkite, atnaujinkite su įspėjimu arba atsisakykite įkelti.

„Firefox“ valdikliai yra už about:config ir privatumo nustatymų puslapyje su dom.security.https_only_mode kaip jungikliu, o svetainės išimtys valdomos spynos meniu. „Chrome“ ir „Edge“ ta pati idėja yra skiltyje „Nustatymai“, „Privatumas ir sauga“, „Sauga“, pažymėta Visada naudoti saugius ryšius. Kad ir kokia būtų etiketė, patikrinkite elgseną prieš pagrindinį kompiuterį, kuris atsako tik per 80 prievadą, nes režimas, kuris atnaujinamas ir tyliai grįžta atgal, nėra ta apsauga, kurią įjungėte. Tik „Firefox“ HTTPS dokumentacijoje aprašomas šios naršyklės naujovinimas, įspėjimas ir išimtis.

3 veiksmas: pataisykite išteklius, o ne tik adreso juostą

Kai naujovinti nepavyksta, vietoj adreso juostos skaitykite tikslią klaidą. Priegloba be HTTPS klausytojo, prieglobos serverio pavadinimas, kuris neatitinka sertifikato, ir pasibaigusi grandinė gamina skirtingus pranešimus ir priklauso skirtingiems savininkams. Tik pirmasis yra serverio tarpas; antroji paprastai yra žymė, kuri niekada nebuvo atnaujinta; trečioji yra atnaujinimo problema, kuriai VPN ryšys nėra svarbus.

Nepridėkite sertifikato išimties prie paskyros svetainės, nes VPN įjungtas. Išimtis išjungia patikrą, kuri būtų užfiksavusi būtent perėmimą, kuriam VPN turi užkirsti kelią.

Trečioji dalis yra puslapio viduje, ir jos žmonės pasigenda. Puslapis, kuris įkeliamas per HTTPS, vis tiek gali paimti vaizdus, šriftus ar scenarijus iš http URL, o naršyklė juos užblokuos arba sumažins viso puslapio saugos indikatorių. Patikrinkite nepavykusias užklausas tinklo skydelyje ir pataisykite išteklių nuorodas jų savininkui, o ne manykite, kad adreso juosta aprašo kiekvieną užklausą. Svetainėje, kurią naudojate, tai reiškia, kad reikia pataisyti TVS arba šablone saugomus URL, o ne perrašyti juos naršyklėje. Jei negalite pakeisti šaltinio, įrašykite mišrų turinį kaip žinomą spragą, nes užraktas virš puslapio, kuris traukia paprasto teksto išteklius, yra klaidingas signalas.

4 veiksmas: ką HSTS prideda ir ko neprideda

HSTS yra svetainės politika, o ne naršyklės nuostata, ir tai yra vienintelis mechanizmas, kuris išlaiko įvestą http:// naujame profilyje. Kai naršyklė pamato Strict-Transport-Security prieglobos antraštę, ji perrašo vėlesnes užklausas į https, prieš jas siųsdama, o tai yra būtent ta ypatybė, kurios norite. Tai nieko nedaro prieglobai, kuriame naršyklė niekada nesilankė, ir nieko neveikia kitam prieglobos pavadinimui, kuris aptarnauja tą pačią programą.

Patikrinkite, ką šaltinis siunčia su curl -sSI https://example.com | grep -i strict-transport-security. Trūksta antraštės yra serverio pakeitimas, o ne tai, ką klientas gali įdiegti. Jei jis yra, perskaitykite max-age ir ar nustatytas includeSubDomains, nes tarp apsilankymų baigiasi trumpas maksimalus amžius, o trūkstamas includeSubDomains kiekvienas padomenis lieka neapsaugotas. RFC 6797 apibrėžia, kaip vartotojo agentas taiko politiką ir ko gali nepaisyti. Išankstinis įkėlimas yra atskiras įsipareigojimas, todėl prieš pažadėdami, kad domenas yra sąraše, patikrinkite būseną naudodami hstspreload.org API.

Patvirtinimas ir atšaukimas

Atšaukimas yra pigus kliento nustatymams ir brangus HSTS. Išjungus tik HTTPS režimą, iš karto atkuriama ankstesnė elgsena; ilgas maksimalus amžius to nedaro, o jį jau gavę lankytojai atnaujina, kol baigsis jo galiojimo laikas.

Todėl patikrinkite eilės tvarka prieš skambindami. Iš naujo įkelkite iš šaltosios talpyklos ir patvirtinkite, kad pirmoji užklausa tinklo skydelyje yra https be ankstesnio peradresavimo. Tada patikrinkite padomenį, nes includeSubDomains yra ta vieta, kur ši politika paprastai yra siauresnė, nei manoma. Tada patikrinkite vieną puslapį, kuriame yra trečiųjų šalių išteklių, nes mišrus turinys yra gedimas, kuris išgyvena kiekvieną kitą pataisymą.

Jei po viso to pirmoji užklausa vis dar yra http, klientas nebėra kintamasis: nuoroda, kurią žmonės spusteli, yra. Valdomose vietose ieškokite pagrindinio kompiuterio pavadinimo http formos, atnaujinkite jas ir iš naujo išbandykite tą patį šaltosios talpyklos įkėlimą. Visą VPN klausimą laikykite atskirai, nes tunelis keičia, kas gali matyti užklausą, ir niekada nekeičiama, ar užklausa užšifruota. Į bilietą reikia įrašyti, kad svarbiausia yra pirmoji užklausa, o peradresavimas yra tik jau išsiųstos užklausos kvitas.