Kif tagħmel HTTPS l-Ewwel Talba Permezz ta 'VPN

Brawżer li jittajpja http:// l-ewwel u jinżel fuq https:// wara li redirect ikun diġà bagħat talba waħda ċara, u VPN ma jbiddilx dan. Il-mina tipproteġi s-sieq mill-klijent sal-node tal-ħruġ; ma tikkodifika xejn 'il fuq mis-saff tat-trasport, għalhekk osservatur bejn il-ħruġ u l-oriġini xorta jara l-ħops tat-test sempliċi. Li tagħmel HTTPS l-ewwel talba hija bidla min-naħa tal-klijent bi tliet partijiet: indirizz HTTPS reali, il-mod ta 'aġġornament tal-browser, u l-politika tas-sit stess. Il-passi hawn taħt huma l-ordni li nuża, kull wieħed bil-kontroll li jgħidlek jekk ħaditx.

Pass 1: ikkonferma x'inhi fil-fatt l-ewwel talba

Qabel ma tibdel xi ħaġa, ħares lejn dak li jibgħat il-browser. Iftaħ il-pannell tan-netwerk bil-paġna mgħobbija mill-ġdid minn cache kiesħa u aqra l-ewwel ringiela: jekk l-iskema hija http u l-istatus huwa 301 jew 308, kollox wara dik ir-ringiela hija t-tieni talba. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com jirriproduċi l-istess sekwenza barra l-browser u jistampa l-URL li spiċċajt fuqu.

Żewġ riżultati huma possibbli u jeħtieġu soluzzjonijiet differenti. Jekk is-sit iservi HTTPS fuq l-istess ospitanti, il-soluzzjoni hija li tieqaf tippubblika l-formola HTTP: aġġorna l-bookmark, il-link tal-wiki, is-shortcut tad-desktop u l-mudell tal-email li n-nies ikklikkja. Jekk is-sit ma jservi HTTPS xejn, l-ebda setting tal-browser ma joħloqha, u t-tweġiba onesta hija li d-destinazzjoni hija l-problema. Tiskartax it-tieni każ b'eċċezzjoni, għax eċċezzjoni ta' ċertifikat fuq paġna ta' kont tikkonverti problema ta' trasport fi problema ta' kredenzjali. Ikteb f'liema każ inti qiegħed qabel ma tmiss issettjar.

Pass 2: ixgħel il-modalità HTTPS biss tal-browser

Il-mod ta' aġġornament huwa t-tieni parti, u l-modi mhumiex interkambjabbli. Iċċekkja x'tagħmel tiegħek qabel ma tagħmilha: aġġorna fis-skiet, aġġorna bi twissija, jew tirrifjuta li tgħabbi.

F'Firefox il-kontrolli jgħixu wara about:config u fil-paġna tas-settings tal-privatezza, bi dom.security.https_only_mode bħala l-iswiċċ u l-eċċezzjonijiet għal kull sit ġestiti mill-menu tal-katnazz. F'Chrome u Edge l-istess idea tinsab taħt Settings, Privatezza u sigurtà, Sigurtà, ittikkettati Dejjem uża konnessjonijiet sikuri. Tkun xi tkun it-tikketta, ivverifika l-imġieba kontra host li jwieġeb biss fuq il-port 80, minħabba li mod li jaġġorna u mbagħad sieket lura mhuwiex il-protezzjoni li taħseb li ppermettiet. Il-dokumentazzjoni HTTPS-Only Firefox tispjega l-aġġornament, it-twissija u l-imġiba ta’ eċċezzjoni għal dak il-brawżer.

Pass 3: irranġa r-riżorsi, mhux biss il-bar tal-indirizz

Meta aġġornament ifalli, aqra l-iżball eżatt minflok il-bar tal-indirizz. Host mingħajr semmiegħ HTTPS, hostname li ma jaqbilx maċ-ċertifikat u katina skaduta jipproduċu messaġġi differenti u jappartjenu għal sidien differenti. L-ewwel biss huwa distakk fuq in-naħa tas-server; it-tieni huwa normalment bookmark li qatt ma ġie aġġornat; it-tielet hija problema ta 'tiġdid li l-konnessjoni VPN hija irrilevanti għaliha.

Iżżidx eċċezzjoni ta' ċertifikat ma' sit ta' kont minħabba li l-VPN huwa mixgħul. L-eċċezzjoni tiddiżattiva l-kontroll li kien jaqbad eżattament l-interċettazzjoni li VPN hija maħsuba biex tipprevjeni.

It-tielet parti tinsab ġewwa l-paġna, u hija dik li n-nies jitilfu. Paġna li titgħabba fuq HTTPS xorta tista' tiġbed immaġini, fonts jew skripts minn URL http, u l-browser jew jimblokkahom jew jiddegrada l-indikatur tas-sigurtà għall-paġna kollha. Spezzjona t-talbiet falluti fil-panel tan-netwerk u waħħal ir-referenzi tar-riżorsi fuq is-sid tagħhom aktar milli tassumi li l-istrixxa tal-indirizzi tiddeskrivi kull talba. Fuq sit li tmexxi, dan ifisser li tikkoreġi l-URLs maħżuna fis-CMS jew il-mudell minflok tiktebhom mill-ġdid fil-browser. Jekk ma tistax tibdel is-sors, irreġistra l-kontenut imħallat bħala vojt magħruf, għaliex katnazz fuq paġna li tiġbed riżorsi ta' test ċar huwa sinjal falz.

Pass 4: dak li żżid l-HSTS, u x'ma tagħmilx

HSTS hija politika tas-sit aktar milli preferenza tal-browser, u huwa l-uniku mekkaniżmu hawnhekk li jibqa' ħaj minn http:// ittajpjat fuq profil ġdid. Ladarba browser ra header Strict-Transport-Security għal host, jerġa’ jikteb talbiet aktar tard lil https qabel ma jibgħathom, li hija eżattament il-proprjetà li trid. Ma jagħmel xejn għal host li l-browser qatt ma żar, u xejn għal hostname differenti li jservi l-istess applikazzjoni.

Iċċekkja x'tibgħat l-oriġini bi curl -sSI https://example.com | grep -i strict-transport-security. Header nieqes huwa bidla fis-server u mhux xi ħaġa li klijent jista' jinstalla. Jekk ikun preżenti, aqra max-age u jekk includeSubDomains huwiex issettjat, minħabba li tiskadi età massima qasira bejn iż-żjarat u includeSubDomains nieqsa tħalli kull sottodominju mhux protett. RFC 6797 jiddefinixxi kif aġent tal-utent japplika l-politika u dak li jista' jinjora. It-tagħbija minn qabel hija impenn separat, għalhekk iċċekkja l-istatus permezz tal-API hstspreload.org qabel ma twiegħed lil xi ħadd li dominju jinsab fil-lista.

Verifika u rollback

Irħis lura għas-settings tal-klijent u għali għall-HSTS. It-tifi tal-modalità HTTPS biss tirrestawra l-imġieba preċedenti immedjatament; età massima twila ma tagħmilx, u l-viżitaturi li diġà rċevewha jibqgħu jaġġornaw sakemm jiskadi.

Allura ivverifika fl-ordni qabel ma ċċempelha jsir. Erġa 'tagħbija minn cache kiesħa u kkonferma li l-ewwel talba fil-pannell tan-netwerk hija https mingħajr redirect preċedenti. Imbagħad iċċekkja sottodominju, għaliex includeSubDomains huwa fejn dawn il-politiki normalment jirriżultaw li jkunu idjaq milli suppost. Imbagħad iċċekkja paġna waħda li tiġbed assi ta' partijiet terzi, peress li l-kontenut imħallat huwa l-falliment li jibqa' ħaj għal kull soluzzjoni oħra.

Jekk l-ewwel talba għadha http wara dak kollu, il-klijent m'għadux il-varjabbli: il-link li jikklikkjaw in-nies hija. Fittex il-postijiet li tikkontrolla għall-forma http tal-isem tal-host, aġġornahom, u erġa' ttestja bl-istess reload cold-cache. Żomm il-mistoqsija VPN separata tul, minħabba li il-mina tinbidel min jista’ jara t-talba u qatt ma tbiddel jekk it-talba hijiex encrypted. Il-linja li għandek tpoġġi fil-biljett hija li l-ewwel talba hija dik li hija importanti, u redirect huwa biss irċevuta għal talba diġà mibgħuta.