Cum să faci HTTPS prima solicitare printr-un VPN

Un browser care tasta mai întâi http:// și ajunge pe https:// după ce o redirecționare a trimis deja o solicitare în clar, iar un VPN nu schimbă acest lucru. Tunelul protejează piciorul de la client până la nodul de ieșire; nu criptează nimic deasupra stratului de transport, așa că un observator între ieșire și origine vede în continuare textul simplu. A face HTTPS ca prima solicitare este o modificare la nivelul clientului cu trei părți: o adresă HTTPS reală, modul de actualizare a browserului și politica proprie a site-ului. Pașii de mai jos sunt ordinea pe care o folosesc, fiecare cu cecul care vă spune dacă a fost nevoie.

Pasul 1: confirmați care este de fapt prima solicitare

Înainte de a schimba ceva, uită-te la ce trimite browserul. Deschideți panoul de rețea cu pagina reîncărcată dintr-un cache rece și citiți primul rând: dacă schema este http și starea este 301 sau 308, totul după acel rând este o a doua cerere. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com reproduce aceeași secvență în afara browserului și tipărește adresa URL la care ai ajuns.

Sunt posibile două rezultate și necesită remedieri diferite. Dacă site-ul deservește HTTPS pe aceeași gazdă, soluția este să nu mai publicăm formularul HTTP: actualizați marcajul, linkul wiki, comanda rapidă pe desktop și șablonul de e-mail pe care oamenii fac clic. Dacă site-ul nu servește deloc HTTPS, nicio setare de browser nu îl va crea, iar răspunsul sincer este că destinația este problema. Nu documentați cel de-al doilea caz cu o excepție, deoarece o excepție de certificat pe pagina unui cont transformă o problemă de transport într-o problemă de acreditări. Notați în ce caz vă aflați înainte de a atinge o setare.

Pasul 2: activați modul numai HTTPS al browserului

Modul de actualizare este a doua parte, iar modurile nu sunt interschimbabile. Verificați ce face al dvs, înainte de a-l activa: faceți upgrade silențios, faceți upgrade cu un avertisment sau refuzați încărcarea.

În Firefox, controalele se află în spatele about:config și în pagina de setări de confidențialitate, cu dom.security.https_only_mode ca comutare și excepțiile per site gestionate din meniul lacăt. În Chrome și Edge, aceeași idee se află sub Setări, Confidențialitate și securitate, Securitate, etichetate Utilizați întotdeauna conexiuni securizate. Indiferent de etichetă, verificați comportamentul față de o gazdă care răspunde doar pe portul 80, deoarece un mod care se actualizează și apoi se retrage în tăcere nu este protecția pe care credeți că ați activat-o. Documentația Firefox numai HTTPS precizează comportamentul de actualizare, avertisment și excepție pentru browserul respectiv.

Pasul 3: remediați resursele, nu doar bara de adrese

Când o actualizare eșuează, citiți eroarea exactă în loc de bara de adrese. O gazdă fără ascultător HTTPS, un nume de gazdă care nu se potrivește cu certificatul și un lanț expirat produc mesaje diferite și aparțin unor proprietari diferiți. Doar primul este un decalaj pe partea serverului; al doilea este de obicei un marcaj care nu a fost niciodată actualizat; a treia este o problemă de reînnoire pentru care conexiunea VPN este irelevantă.

Nu adăugați o excepție de certificat la un site de cont deoarece VPN-ul este activat. Excepția dezactivează verificarea care ar fi surprins exact interceptarea pe care un VPN este menit să o prevină.

A treia parte se află în interiorul paginii și este cea care îi lipsește oamenilor. O pagină care se încarcă prin HTTPS poate extrage în continuare imagini, fonturi sau script-uri dintr-o adresă URL http, iar browserul fie le va bloca, fie le va reduce indicatorul de securitate pentru întreaga pagină. Inspectați cererile eșuate în panoul de rețea și reparați referințele de resurse la proprietarul lor, în loc să presupuneți că bara de adrese descrie fiecare cerere. Pe un site pe care îl rulați, asta înseamnă să corectați adresele URL stocate în CMS sau șablon, în loc să le rescrieți în browser. Dacă nu puteți schimba sursa, înregistrați conținutul mixt ca un gol cunoscut, deoarece un lacăt peste o pagină care atrage resurse de text simplu este un semnal fals.

Pasul 4: ce adaugă HSTS și ce nu

HSTS este mai degrabă o politică de site decât o preferință de browser și este singurul mecanism de aici care supraviețuiește unui http:// tastat pe un profil nou. Odată ce un browser a văzut un antet Strict-Transport-Security pentru o gazdă, rescrie cererile ulterioare la https înainte de a le trimite, care este exact proprietatea pe care o doriți. Nu face nimic pentru o gazdă pe care browserul nu a vizitat-o niciodată și pentru un alt nume de gazdă care servește aceeași aplicație.

Verificați ce trimite originea cu curl -sSI https://example.com | grep -i strict-transport-security. Un antet lipsă este o schimbare a serverului și nu ceva ce un client poate instala. Dacă este prezent, citiți max-age și dacă includeSubDomains este setat, deoarece o vârstă maximă scurtă expiră între vizite și includeSubDomains lipsă lasă fiecare subdomeniu neprotejat. RFC 6797 definește modul în care un agent de utilizator aplică politica și ceea ce poate ignora. Preîncărcarea este un angajament separat, așa că verificați starea prin API-ul hstspreload.org înainte de a promite cuiva că un domeniu este pe listă.

Verificare și retragere

Rollback-ul este ieftin pentru setările clientului și costisitor pentru HSTS. Dezactivarea modului numai HTTPS restabilește comportamentul anterior imediat; o vârstă maximă lungă nu, iar vizitatorii care l-au primit deja continuă să facă upgrade până când expiră.

Așadar, verificați în ordine înainte de a apela gata. Reîncărcați dintr-un cache rece și confirmați că prima solicitare din panoul de rețea este https, fără redirecționare anterioară. Apoi verificați un subdomeniu, deoarece includeSubDomains este locul în care aceste politici se dovedesc, de obicei, a fi mai restrânse decât se presupunea. Apoi verificați o pagină care atrage materiale terță parte, deoarece conținutul mixt este eșecul care supraviețuiește oricărei alte remedieri.

Dacă prima solicitare este încă http după toate acestea, clientul nu mai este variabila: linkul pe care îl fac oamenii este. Căutați în locurile pe care le controlați pentru forma http a numelui de gazdă, actualizați-le și re-testați cu aceeași reîncărcare a memoriei cache la rece. Păstrați întrebarea VPN separată pe tot parcursul, deoarece tunelul schimbă cine poate vedea solicitarea și nu schimbă niciodată dacă cererea este criptată. Rândul de pus în bilet este că prima solicitare este cea care contează, iar o redirecționare este doar o chitanță pentru o solicitare deja trimisă.