Мешана содржина зад VPN: поправете го ресурсот, не тунелот

HTTPS страница што вчитува скрипти преку HTTP прави две барања со две различни нивоа на заштита, а катанецот го опишува само првото. Тунелот тоа не го менува, бидејќи го штити преносителот, а не сопствената шема на ресурсот. Прелистувачот веќе ви кажува кое барање не успеа, ако ја читате конзолата наместо адресната лента. Три проверки ве водат од делумно функционална страница до вистинска поправка.

Читајте го барањето, не адресната лента

Документ преземен преку HTTPS може да упати на скрипта, стилска табела, фонт или рамка преку обичен HTTP. Таа референца е посебно барање и токму на неа се жали прелистувачот. Заштитата на главниот документ не се пренесува назад во неа, а тунелот што ги носи двата текока не менува ниту една шема. Затоа страницата може истовремено да биде навистина безбедна и навистина расипана.

Нарекувањето на ресурсот само вклучена датотека не го прави неговото заменување безопасно.

Ако небезбедната содржина на скрипта може да се измени на патот и потоа да се изврши, таа може да го промени однесувањето на страницата, што е поголем проблем од козметички дефект. Сликите носат помал, но реален ризик кога се менуваат на патот. Катанецот не лаже за ништо. Тој одговара на потесно прашање од она што вие му го поставивте.

Знајте кои ресурси се блокираат и кои се издигнуваат

Прелистувачите не се однесуваат кон секој тип ресурс исто. упатството за мешана содржина ги одделува барањата што се издигнуваат на HTTPS од барањата што целосно се блокираат: скриптите, стилските табели и програмските барања се на блокираната страна, додека сликите и медиумите може наместо тоа да се издигнат или означат.

Оваа разлика ги објаснува збунувачките извештаи. Страница со блокирана скрипта целосно губи функција, додека страница со издигната слика изгледа добро и тивко го променила своето барање. Документираните категории имаат и исклучоци, затоа не претпоставувајте дека секој URL од даден тип успешно ќе се издигне. Читајте што вели конзолата за конкретното барање, наместо да заклучувате од наставка на датотека.

Блокиран виџет не е доказ дека тунелот не успеал. Тоа е доказ дека прелистувачот ја завршил својата работа.

Поправете ја референцата во нејзиниот извор

За сопственик на страницата, поправката припаѓа на местото каде што бил напишан небезбедниот URL: шаблон, стилска табела, скрипта што собира URL-а или компонента од трета страна. Менувањето на видливата адреса на страницата го остава сето тоа недопрено. Пребарајте го изворот за домаќинот и поправете ја секоја референца, а не само онаа единствената што конзолата случајно ја именувала.

Потоа потврдете дека ресурсот навистина се служи преку HTTPS со валиден идентитет, бидејќи замената на шемата не може да создаде услуга што никогаш не била објавена таму.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Следете ги и пренасочувањата, бидејќи референца што започнува со HTTPS сепак може да слета на пат за испорака со отворен текст. Кога зависноста едноставно нема достапна безбедна испорака, отстранете ја или заменете ја преку вообичаениот процес на промена, наместо да испорачате заобиколно решение. За корисникот, оставете ги заштитите на прелистувачот вклучени и пријавете му на сопственикот на страницата URL-то на ресурсот, неговиот тип и пораката од конзолата. Никогаш не ширете упатства што на вработените им велат да дозволат небезбедна содржина за една страница, бидејќи тој исклучок го надживува инцидентот што го предизвикал.

Повторно тестирајте ја страницата како што корисниците ја допираат

Вежбајте ги операциите што вчитуваат ресурси по барање, не само првиот документ. Страниците преземаат дополнителен код, податоци и преземања по притискање копче, а тие барања честопати се небезбедните. Потврдете ги конкретните барања и видливото однесување додека заштитата е сѐ уште вклучена. Тест што започнува со олабавен профил на прелистувач не може да ви покаже што гледа обичен корисник.

Тунелот сѐ уште ја има својата работа, а таа работа е мрежен пристап, а не интегритет на страницата.

Откако сообраќајот ќе ја напушти крајната точка на тунелот, ниту едно преостанато HTTP преземање не добило ништо од преносителот. Поправете ја патеката на ресурсот и задржете го спроведувањето во прелистувачот. Третирањето на уште еден транспортен слој како поправка на небезбедна зависност е начинот на кој тимот завршува со скрипта за помошна служба што ја исклучува контролата што работела правилно.