Како да направите HTTPS првото барање преку VPN

Прелистувачот што прво пишува http:// и се спушта на https:// по пренасочувањето, веќе испрати едно барање на чисто, а VPN не го менува тоа. Тунелот ја штити ногата од клиентот до излезниот јазол; не шифрира ништо над транспортниот слој, така што набљудувачот помеѓу излезот и потеклото сѐ уште го гледа прескокнувањето на обичен текст. Правењето на HTTPS како прво барање е промена од страна на клиентот со три дела: вистинска HTTPS адреса, режим на надградба на прелистувачот и сопствена политика на страницата. Чекорите подолу се редоследот што го користам, секој со проверка што ви кажува дали е потребно.

Чекор 1: потврдете кое е всушност првото барање

Пред да промените било што, погледнете што испраќа прелистувачот. Отворете го мрежниот панел со страницата повторно вчитана од ладна кеш и прочитајте го првиот ред: ако шемата е http, а статусот е 301 или 308, сѐ после тој ред е второ барање. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com ја репродуцира истата низа надвор од прелистувачот и го печати URL-то на кое сте завршиле.

Можни се два исхода и им требаат различни поправки. Ако сајтот служи HTTPS на истиот хост, поправката е да престане да го објавува формуларот HTTP: ажурирајте го обележувачот, врската за вики, кратенката на работната површина и шаблонот за е-пошта што луѓето кликнуваат. Ако сајтот воопшто не опслужува HTTPS, ниту една поставка на прелистувачот нема да ја создаде, а искрениот одговор е дека дестинацијата е проблемот. Не го пишувајте вториот случај со исклучок, бидејќи исклучокот на сертификатот на страницата на сметката го претвора проблемот со транспортот во проблем со акредитиви. Запишете во кој случај се наоѓате пред да допрете поставка.

Чекор 2: вклучете го режимот само за HTTPS на прелистувачот

Режимот за надградба е вториот дел и режимите не се заменливи. Проверете што прави вашето пред да го овозможите: надградете тивко, надградете со предупредување или одбијте да се вчита.

Во Firefox контролите живеат зад about:config и на страницата за поставки за приватност, со dom.security.https_only_mode како прекинувач и исклучоците по локација управувани од менито за катанец. Во Chrome и Edge, истата идеја се наоѓа под Поставки, Приватност и безбедност, Безбедност, означени како Секогаш користете безбедни врски. Без оглед на етикетата, потврдете го однесувањето на домаќинот што одговара само на портата 80, бидејќи режимот што се надградува, а потоа тивко се враќа назад не е заштитата што мислите дека сте ја овозможиле. Документацијата само за HTTPS-Firefox ги наведува надградбата, предупредувањето и однесувањето за исклучок за тој прелистувач.

Чекор 3: поправете ги ресурсите, а не само лентата за адреси

Кога надградбата не успее, прочитајте ја точната грешка наместо лентата за адреси. Домаќин без слушател HTTPS, име на домаќин што не одговара на сертификатот и истечен синџир произведуваат различни пораки и припаѓаат на различни сопственици. Само првиот е празнина од страна на серверот; вториот е обично обележувач кој никогаш не бил ажуриран; третиот е проблем со обновување за кој VPN-врската е ирелевантна.

Не додавајте исклучок од сертификати на страница на сметка бидејќи VPN е вклучена. Исклучокот ја оневозможува проверката што би го фатила токму пресретнувањето што VPN треба да го спречи.

Третиот дел е внатре во страницата и тоа е оној што луѓето го пропуштаат. Страницата што се вчитува преку HTTPS сѐ уште може да повлече слики, фонтови или скрипти од http URL, а прелистувачот или ќе ги блокира или ќе го намали безбедносниот индикатор за целата страница. Проверете ги неуспешните барања во мрежниот панел и поправете ги референците на ресурсите кај нивниот сопственик наместо да претпоставувате дека лентата за адреси го опишува секое барање. На страницата што ја извршувате, тоа значи да ги поправите зачуваните URL-адреси во CMS или шаблонот наместо да ги препишувате во прелистувачот. Ако не можете да го промените изворот, снимете ја мешаната содржина како позната празнина, бидејќи катанецот над страница што влече ресурси со обичен текст е лажен сигнал.

Чекор 4: што додава HSTS, а што не

HSTS е политика на страницата наместо претпочитање на прелистувачот, и тој е единствениот механизам овде што преживува внесено http:// на нов профил. Штом прелистувачот ќе види заглавие Strict-Transport-Security за домаќин, ги препишува подоцнежните барања до https пред да ги испрати, што е токму имотот што го сакате. Тоа не прави ништо за домаќинот што прелистувачот никогаш не го посетил, и ништо за различно име на домаќин што ја опслужува истата апликација.

Проверете што испраќа потеклото со curl -sSI https://example.com | grep -i strict-transport-security. Заглавието што недостасува е промена на серверот, а не нешто што клиентот може да го инсталира. Ако е присутен, прочитајте max-age и дали е поставено includeSubDomains, бидејќи кратката максимална старост истекува помеѓу посетите, а недостигот на includeSubDomains го остава секој поддомен незаштитен. RFC 6797 дефинира како корисничкиот агент ја применува политиката и што може да игнорира. Preload е посебна обврска, затоа проверете го статусот преку hstspreload.org API пред да му ветите на некого дека доменот е на списокот.

Потврда и враќање

Враќањето е евтино за поставките на клиентот и скапо за HSTS. Исклучувањето на режимот само HTTPS веднаш го враќа претходното однесување; долгиот максимален рок не го прави тоа, а посетителите кои веќе го добиле продолжуваат да се надградуваат додека не истече.

Затоа, потврдете го редоследот пред да го повикате завршеното. Вчитајте повторно од ладна кеш и потврдете дека првото барање во мрежниот панел е https без претходно пренасочување. Потоа проверете го поддоменот, бидејќи includeSubDomains е местото каде што овие политики обично излегуваат потесни отколку што се претпоставува. Потоа проверете една страница што привлекува средства од трета страна, бидејќи мешаната содржина е неуспехот што го преживува секое друго поправање.

Ако првото барање е сѐ уште http после сето тоа, клиентот повеќе не е променливата: врската што луѓето ја кликнуваат е. Пребарајте ги местата што ги контролирате за http формата на името на домаќинот, ажурирајте ги и повторно тестирајте со истото повторно вчитување на ладна кеш. Прашањето за VPN чувајте го одвоено насекаде, бидејќи тунелот менува кој може да го види барањето и никогаш не менува дали барањето е шифрирано. Линијата што треба да се стави во билетот е дека првото барање е она што е важно, а пренасочувањето е само потврда за веќе испратено барање.