Konten imħallat wara VPN: sewwi r-riżors, mhux it-tunnel

Paġna HTTPS li tgħabbi scripts permezz ta' HTTP tagħmel żewġ talbiet b'żewġ livelli differenti ta' protezzjoni, u l-katnazz jiddeskrivi biss l-ewwel waħda. Tunnel ma jbiddilx dan, għax jipproteġi l-ġarrier u mhux l-iskema tar-riżors innifsu. Il-browser diġà qed jgħidlek liema talba falliet, jekk taqra l-console minflok il-bar tal-indirizz. Tliet verifiki jwassluk minn paġna li taħdem nofs triq għal tiswija vera.

Aqra t-talba, mhux il-bar tal-indirizz

Dokument miksub permezz ta' HTTPS jista' jirreferi għal script, stylesheet, font jew frame permezz ta' HTTP sempliċi. Dik ir-referenza hija talba separata, u hija dik li l-browser jilmenta dwarha. Il-protezzjoni tad-dokument prinċipali ma tmurx lura fiha, u t-tunnel li jġorr iż-żewġ flussi ma jbiddel l-ebda skema. Għalhekk il-paġna tista' tkun tassew sigura u tassew miksura fl-istess ħin.

Li ssejjaħ ir-riżors sempliċement fajl inkluż ma jagħmilx is-sostituzzjoni tiegħu bla ħsara.

Jekk il-kontenut ta' script mhux sigur jista' jiġi mibdul fil-vjaġġ u mbagħad eżegwit, jista' jbiddel kif il-paġna tġib ruħha, u din hija problema akbar minn falliment estetiku. L-immaġini jġorru riskju iżgħar iżda reali meta jiġu modifikati fil-vjaġġ. Il-katnazz mhux qed jigdeb dwar xejn. Qed iwieġeb mistoqsija idjaq minn dik li inti staqsejtu.

Af liema riżorsi jiġu mblukkati u liema jiġu promossi

Il-browsers ma jittrattawx kull tip ta' riżors bl-istess mod. il-gwida dwar il-kontenut imħallat tissepara t-talbiet li jiġu promossi għal HTTPS minn dawk li jiġu mblukkati għal kollox, bis-scripts, l-istylesheets u t-talbiet programmatiċi fuq in-naħa mblukkata, filwaqt li l-immaġini u l-midja jistgħu minflok jiġu promossi jew immarkati.

Differenza bħal din tispjega r-rapporti konfużi. Paġna b'script imblukkat titlef karatteristika għal kollox, filwaqt li paġna b'immaġni promossa tidher tajba u bil-moħbi bidlet it-talba tagħha. Il-kategoriji dokumentati għandhom ukoll eċċezzjonijiet, mela tassumix li kull URL ta' tip partikolari se jiġi promoss b'suċċess. Aqra x'jgħid il-console dwar it-talba speċifika minflok ma targumenta minn estensjoni tal-fajl.

Widget imblukkat mhuwiex prova li t-tunnel falla. Hija prova li l-browser għamel xogħlu.

Sewwi r-referenza fl-oriġini tagħha

Għas-sid tas-sit, it-tiswija tappartjeni għall-post fejn inkiteb l-URL mhux sigur: template, stylesheet, script li jiġbor l-URLs, jew komponent ta' parti terza. Li tbiddel l-indirizz viżibbli tal-paġna jħalli dan kollu ma jintmess. Fittex is-sors għall-host u sewwi kull referenza, mhux biss dik waħda li l-console semmiet b'kumbinazzjoni.

Imbagħad ikkonferma li r-riżors tassew qed jiġi servut permezz ta' HTTPS b'identità valida, għax tibdil ta' skema ma jistax joħloq servizz li qatt ma ġie ppubblikat hemmhekk.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Segwi wkoll ir-ridirezzjonijiet, għax referenza li tibda bl-HTTPS xorta tista' tispiċċa fi triq ta' twassil b'test sempliċi. Fejn dipendenza sempliċement m'għandhiex twassil sigur disponibbli, neħħiha jew ibdilha permezz tal-proċess normali tat-tibdil minflok ma tibgħat soluzzjoni temporanja. Għall-utent, ħalli l-protezzjonijiet tal-browser attivati u irrapporta lis-sid tas-sit l-URL tar-riżors, it-tip tiegħu u l-messaġġ tal-console. Qatt ma xxerred struzzjonijiet li jgħidu lill-persunal biex iħallu kontenut mhux sigur għal paġna waħda, għax dik l-eċċezzjoni tgħix aktar mill-inċident li wassal għaliha.

Erġa' ttestja l-paġna kif il-utenti jmessuha

Ipprattika l-operazzjonijiet li jgħabbu riżorsi fuq talba, mhux biss l-ewwel dokument. Il-paġni jġibu kodiċi, data u downloads addizzjonali wara li tagħfas buttuna, u dawk it-talbiet spiss huma dawk mhux siguri. Ikkonferma t-talbiet speċifiċi u l-imġiba viżibbli bil-protezzjoni għadha attiva. Test li jibda b'profil tal-browser illaxkat ma jistax jurik x'jara utent normali.

It-tunnel xorta għandu xogħlu stess, u dak ix-xogħol huwa aċċess għan-netwerk, mhux l-integrità tal-paġna.

Ladarba t-traffiku jħalli l-punt finali tat-tunnel, l-ebda ġbid HTTP li jibqa' ma kiseb xejn mill-ġarrier. Sewwi t-triq tar-riżors u żomm l-infurzar fil-browser. Li tittratta saff ieħor tat-trasport bħala tiswija għal dipendenza mhux sigura huwa kif tim jispiċċa bi script tal-help desk li jitfi l-kontroll li kien qed jaħdem sew.