Cara Menjadikan HTTPS Permintaan Pertama Melalui VPN

Pelayar yang menaip http:// dahulu dan mendarat di https:// selepas ubah hala telah menghantar satu permintaan dalam clear, dan VPN tidak mengubahnya. Terowong melindungi kaki dari pelanggan ke nod keluar; ia tidak menyulitkan apa-apa di atas lapisan pengangkutan, jadi pemerhati antara pintu keluar dan asal masih melihat lompatan teks biasa. Menjadikan HTTPS permintaan pertama ialah perubahan pihak klien dengan tiga bahagian: alamat HTTPS sebenar, mod naik taraf penyemak imbas dan dasar tapak itu sendiri. Langkah-langkah di bawah ialah tertib yang saya gunakan, setiap satu dengan semakan yang memberitahu anda sama ada ia mengambil masa.

Langkah 1: sahkan apakah permintaan pertama sebenarnya

Sebelum menukar apa-apa, lihat apa yang dihantar oleh penyemak imbas. Buka panel rangkaian dengan halaman dimuat semula daripada cache sejuk dan baca baris pertama: jika skema ialah http dan statusnya ialah 301 atau 308, segala-galanya selepas baris itu ialah permintaan kedua. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com menghasilkan semula jujukan yang sama di luar penyemak imbas dan mencetak URL yang anda gunakan.

Dua hasil mungkin dan mereka memerlukan pembetulan yang berbeza. Jika tapak itu menyediakan HTTPS pada hos yang sama, penyelesaiannya ialah berhenti menerbitkan borang HTTP: kemas kini penanda halaman, pautan wiki, pintasan desktop dan templat e-mel yang diklik oleh orang. Jika tapak itu tidak menyediakan HTTPS sama sekali, tiada tetapan penyemak imbas akan menciptanya, dan jawapan yang jujur ialah destinasi adalah masalahnya. Jangan tulis kes kedua dengan pengecualian, kerana pengecualian sijil pada halaman akaun menukar masalah pengangkutan kepada masalah kelayakan. Tuliskan kes mana anda berada sebelum anda menyentuh tetapan.

Langkah 2: hidupkan mod HTTPS sahaja pelayar

Mod naik taraf ialah bahagian kedua dan mod tidak boleh ditukar ganti. Semak perkara yang anda lakukan sebelum anda mendayakannya: naik taraf secara senyap, naik taraf dengan amaran atau enggan memuatkan.

Dalam Firefox kawalan berada di belakang about:config dan dalam halaman tetapan privasi, dengan dom.security.https_only_mode sebagai suis dan pengecualian setiap tapak diuruskan daripada menu gembok. Dalam Chrome dan Edge idea yang sama terletak di bawah Tetapan, Privasi dan keselamatan, Keselamatan, berlabel Sentiasa gunakan sambungan selamat. Walau apa pun labelnya, sahkan gelagat terhadap hos yang hanya menjawab pada port 80, kerana mod yang dinaik taraf dan kemudian mundur secara senyap bukan perlindungan yang anda fikir anda dayakan. Dokumentasi Firefox HTTPS-Only menyatakan peningkatan, amaran dan tingkah laku pengecualian untuk penyemak imbas itu.

Langkah 3: betulkan sumber, bukan hanya bar alamat

Apabila peningkatan gagal, baca ralat yang tepat dan bukannya bar alamat. Hos tanpa pendengar HTTPS, nama hos yang tidak sepadan dengan sijil dan rantaian tamat tempoh menghasilkan mesej yang berbeza dan dimiliki oleh pemilik yang berbeza. Hanya yang pertama ialah jurang bahagian pelayan; yang kedua biasanya penanda halaman yang tidak pernah dikemas kini; yang ketiga ialah masalah pembaharuan yang sambungan VPN tidak relevan.

Jangan tambahkan pengecualian sijil pada tapak akaun kerana VPN dihidupkan. Pengecualian melumpuhkan semakan yang akan menangkap betul-betul pemintasan yang dimaksudkan untuk dihalang oleh VPN.

Bahagian ketiga berada di dalam halaman, dan ia adalah yang orang rindui. Halaman yang dimuatkan melalui HTTPS masih boleh menarik imej, fon atau skrip daripada URL http dan penyemak imbas akan sama ada menyekatnya atau menurunkan taraf penunjuk keselamatan untuk keseluruhan halaman. Periksa permintaan yang gagal dalam panel rangkaian dan betulkan rujukan sumber pada pemiliknya dan bukannya menganggap bar alamat menerangkan setiap permintaan. Pada tapak yang anda jalankan, ini bermakna membetulkan URL yang disimpan dalam CMS atau templat dan bukannya menulis semula URL tersebut dalam penyemak imbas. Jika anda tidak boleh menukar sumber, rekodkan kandungan bercampur sebagai jurang yang diketahui, kerana gembok pada halaman yang menarik sumber teks biasa ialah isyarat palsu.

Langkah 4: perkara yang ditambahkan oleh HSTS dan perkara yang tidak dilakukannya

HSTS ialah dasar tapak dan bukannya keutamaan penyemak imbas, dan ia adalah satu-satunya mekanisme di sini yang bertahan dari http:// yang ditaip pada profil baharu. Sebaik sahaja penyemak imbas telah melihat pengepala Strict-Transport-Security untuk hos, ia menulis semula permintaan kemudian kepada https sebelum menghantarnya, iaitu harta yang anda inginkan. Ia tidak melakukan apa-apa untuk hos yang tidak pernah dilawati oleh penyemak imbas dan tiada apa-apa untuk nama hos lain yang menyediakan aplikasi yang sama.

Semak perkara yang dihantar oleh asal dengan curl -sSI https://example.com | grep -i strict-transport-security. Pengepala yang hilang ialah perubahan pelayan dan bukan sesuatu yang boleh dipasang oleh pelanggan. Jika ia ada, baca max-age dan sama ada includeSubDomains ditetapkan, kerana umur maksimum yang singkat tamat tempoh antara lawatan dan includeSubDomains yang hilang meninggalkan setiap subdomain tanpa perlindungan. RFC 6797 mentakrifkan cara ejen pengguna menggunakan dasar dan perkara yang mungkin diabaikan. Pramuat ialah komitmen yang berasingan, jadi semak status melalui API hstspreload.org sebelum menjanjikan sesiapa sahaja bahawa domain ada dalam senarai.

Pengesahan dan tarik balik

Kembali adalah murah untuk tetapan klien dan mahal untuk HSTS. Mematikan mod HTTPS sahaja memulihkan tingkah laku sebelumnya dengan serta-merta; umur maksimum yang panjang tidak, dan pelawat yang telah menerimanya terus meningkatkan sehingga ia tamat tempoh.

Jadi, sahkan mengikut urutan sebelum memanggilnya selesai. Muat semula daripada cache sejuk dan sahkan permintaan pertama dalam panel rangkaian ialah https tanpa ubah hala sebelumnya. Kemudian semak subdomain, kerana includeSubDomains ialah tempat dasar ini biasanya menjadi lebih sempit daripada yang diandaikan. Kemudian semak satu halaman yang menarik aset pihak ketiga, memandangkan kandungan bercampur ialah kegagalan yang bertahan dalam setiap pembetulan lain.

Jika permintaan pertama masih http selepas semua itu, pelanggan bukan lagi pembolehubah: pautan yang diklik oleh orang ialah. Cari tempat yang anda kawal untuk bentuk http nama hos, kemas kininya dan uji semula dengan muat semula cache sejuk yang sama. Pastikan soalan VPN berasingan sepanjang, kerana terowong menukar siapa yang boleh melihat permintaan dan tidak pernah mengubah sama ada permintaan itu disulitkan. Talian untuk dimasukkan ke dalam tiket ialah permintaan pertama adalah yang penting dan ubah hala hanyalah resit untuk permintaan yang telah dihantar.