Kā padarīt HTTPS par pirmo pieprasījumu, izmantojot VPN

Pārlūkprogramma, kas vispirms ieraksta http:// un pēc novirzīšanas jau ir nosūtījusi vienu pieprasījumu, un VPN to nemaina. Tunelis aizsargā kāju no klienta līdz izejas mezglam; tas neko nešifrē virs transporta slāņa, tāpēc novērotājs starp izeju un izcelsmi joprojām redz vienkāršā teksta lēcienu. HTTPS noteikšana par pirmo pieprasījumu ir klienta puses izmaiņas, kas sastāv no trim daļām: īsta HTTPS adrese, pārlūkprogrammas jaunināšanas režīms un pašas vietnes politika. Tālāk norādītās darbības ir norādītas manis izmantotajā secībā, un katrai no tām ir čeks, kas norāda, vai tas bija nepieciešams.

1. darbība: apstipriniet, kas patiesībā ir pirmais pieprasījums

Pirms kaut ko mainīt, apskatiet, ko pārlūkprogramma sūta. Atveriet tīkla paneli, kurā lapa ir atkārtoti ielādēta no aukstās kešatmiņas, un izlasiet pirmo rindu: ja shēma ir http un statuss ir 301 vai 308, viss pēc šīs rindas ir otrais pieprasījums. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com atveido to pašu secību ārpus pārlūkprogrammas un izdrukā URL, uz kuru nonācāt.

Ir iespējami divi rezultāti, un tiem ir nepieciešami dažādi labojumi. Ja vietne nodrošina HTTPS tajā pašā resursdatorā, risinājums ir pārtraukt HTTP veidlapas publicēšanu: atjauniniet grāmatzīmi, wiki saiti, darbvirsmas saīsni un e-pasta veidni, uz kuras cilvēki noklikšķina. Ja vietne vispār neapkalpo HTTPS, neviens pārlūkprogrammas iestatījums to neizveidos, un godīga atbilde ir tāda, ka problēma ir galamērķis. Nepārskatiet otro gadījumu ar izņēmumu, jo sertifikāta izņēmums konta lapā pārvērš transporta problēmu par akreditācijas datu problēmu. Pirms pieskaraties iestatījumam, pierakstiet, kurā gadījumā atrodaties.

2. darbība: ieslēdziet pārlūkprogrammā tikai HTTPS režīmu

Jaunināšanas režīms ir otrā daļa, un režīmi nav savstarpēji aizvietojami. Pirms iespējošanas pārbaudiet, ko dara jūsu: jauniniet klusi, jauniniet ar brīdinājumu vai atsakieties ielādēt.

Pārlūkā Firefox vadīklas atrodas aiz about:config un konfidencialitātes iestatījumu lapā ar dom.security.https_only_mode kā slēdzi un vietņu izņēmumi tiek pārvaldīti no piekaramās atslēgas izvēlnes. Pārlūkā Chrome un Edge viena un tā pati ideja atrodas sadaļā Iestatījumi, Konfidencialitāte un drošība, Drošība ar apzīmējumu Vienmēr izmantot drošus savienojumus. Neatkarīgi no etiķetes pārbaudiet darbību pret resursdatoru, kas atbild tikai 80. portā, jo režīms, kas tiek jaunināts un pēc tam klusi atkrīt, nav tā aizsardzība, kuru, jūsuprāt, iespējojāt. Tikai Firefox HTTPS dokumentācijā ir aprakstīta šīs pārlūkprogrammas jaunināšana, brīdinājumi un izņēmumi.

3. darbība, labojiet resursus, nevis tikai adreses joslu

Ja jaunināšana neizdodas, adreses joslas vietā lasiet precīzu kļūdu. Saimniekdators bez HTTPS klausītāja, resursdatora nosaukums, kas neatbilst sertifikātam, un ķēde, kurai beidzies derīguma termiņš, rada dažādus ziņojumus un pieder dažādiem īpašniekiem. Tikai pirmā ir servera puses plaisa; otrā parasti ir grāmatzīme, kas nekad netika atjaunināta; trešā ir atjaunošanas problēma, kurai VPN savienojums nav svarīgs.

Nepievienojiet sertifikāta izņēmumu konta vietnei, jo VPN ir ieslēgts. Izņēmums atspējo pārbaudi, kas būtu nozvejojusi tieši pārtveršanu, kuru VPN ir paredzēts novērst.

Trešā daļa atrodas lapas iekšpusē, un tā ir tā, kas cilvēkiem pietrūkst. Lapa, kas tiek ielādēta, izmantojot HTTPS, joprojām var iegūt attēlus, fontus vai skriptus no http URL, un pārlūkprogramma tos bloķēs vai pazeminās visas lapas drošības indikatoru. Pārbaudiet neveiksmīgos pieprasījumus tīkla panelī un labojiet resursu atsauces to īpašniekam, nevis pieņemot, ka adreses joslā ir aprakstīts katrs pieprasījums. Vietnē, kuru izmantojat, tas nozīmē, ka ir jālabo SPS vai veidnē saglabātie URL, nevis jāpārraksta tie pārlūkprogrammā. Ja nevarat mainīt avotu, ierakstiet jaukto saturu kā zināmu atstarpi, jo piekaramā atslēga pār lapu, kas izvelk vienkārša teksta resursus, ir nepatiess signāls.

4. darbība: ko HSTS pievieno un ko ne

HSTS drīzāk ir vietnes politika, nevis pārlūkprogrammas preference, un tas ir vienīgais mehānisms, kas var izdzīvot, ja jaunā profilā ievadīts http://. Kad pārlūkprogramma ir redzējusi resursdatora Strict-Transport-Security galveni, tā pārraksta vēlākos pieprasījumus uz https pirms to nosūtīšanas, kas ir tieši tas rekvizīts, kuru vēlaties. Tas neko nedara resursdatoram, kuru pārlūkprogramma nekad nav apmeklējusi, un neko nedara citam saimniekdatora nosaukumam, kas apkalpo to pašu lietojumprogrammu.

Pārbaudiet, ko avots sūta ar curl -sSI https://example.com | grep -i strict-transport-security. Trūkstošā galvene ir servera maiņa, nevis klients var instalēt. Ja tas ir, izlasiet max-age un to, vai ir iestatīts includeSubDomains, jo starp apmeklējumiem beidzas īss maksimālais vecums, un trūkstošais includeSubDomains atstāj visus apakšdomēnus neaizsargātus. RFC 6797 nosaka, kā lietotāja aģents piemēro politiku un ko tas var ignorēt. Iepriekšēja ielāde ir atsevišķa apņemšanās, tāpēc pārbaudiet statusu, izmantojot hstspreload.org API, pirms apsolāt, ka domēns ir sarakstā.

Verifikācija un atcelšana

Atcelšana ir lēta klienta iestatījumiem un dārga HSTS. Izslēdzot tikai HTTPS režīmu, tiek nekavējoties atjaunota iepriekšējā darbība; ilgs maksimālais vecums to nedara, un apmeklētāji, kuri to jau ir saņēmuši, turpina jaunināšanu, līdz beidzas tā derīguma termiņš.

Tāpēc pārbaudiet to secībā, pirms to saucat par pabeigtu. Pārlādējiet no aukstās kešatmiņas un apstipriniet, ka pirmais pieprasījums tīkla panelī ir https bez iepriekšējas novirzīšanas. Pēc tam pārbaudiet apakšdomēnu, jo includeSubDomains šīs politikas parasti izrādās šaurākas, nekā pieņemts. Pēc tam pārbaudiet vienu lapu, kurā tiek iegūti trešās puses līdzekļi, jo jauktais saturs ir kļūme, kas pārdzīvo visus citus labojumus.

Ja pirmais pieprasījums pēc visa tā joprojām ir http, klients vairs nav mainīgais: saite, uz kuras cilvēki noklikšķina, ir. Vietās, kuras kontrolējat, meklējiet resursdatora nosaukuma http formu, atjauniniet tās un atkārtoti pārbaudiet, izmantojot to pašu aukstās kešatmiņas atkārtotu ielādi. Visā VPN jautājums ir jānošķir atsevišķi, jo tunelis maina, kurš var redzēt pieprasījumu, un nekad nemaina, vai pieprasījums ir šifrēts. Biļete ir jāievada, lai pirmais pieprasījums ir svarīgs, un novirzīšana ir tikai kvīts par jau nosūtītu pieprasījumu.