Ako urobiť z HTTPS prvú požiadavku prostredníctvom VPN

Prehliadač, ktorý najprv zadá http:// a po presmerovaní pristane na https://, už odoslal jednu požiadavku bez zmeny a sieť VPN to nezmení. Tunel chráni nohu od klienta k výstupnému uzlu; nešifruje nič nad transportnou vrstvou, takže pozorovateľ medzi východom a pôvodom stále vidí skok v otvorenom texte. Urobiť HTTPS ako prvú požiadavku je zmena na strane klienta s tromi časťami: skutočná adresa HTTPS, režim aktualizácie prehliadača a vlastné zásady stránky. Nižšie uvedené kroky predstavujú poradie, ktoré používam, pričom každý obsahuje kontrolu, ktorá vám povie, či to trvalo.

Krok 1: potvrďte, čo je vlastne prvá žiadosť

Skôr ako čokoľvek zmeníte, pozrite sa, čo prehliadač odosiela. Otvorte panel siete so stránkou znovu načítanou zo studenej vyrovnávacej pamäte a prečítajte si prvý riadok: ak je schéma http a stav je 301 alebo 308, všetko po tomto riadku je druhá požiadavka. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com reprodukuje rovnakú sekvenciu mimo prehliadača a vytlačí URL, na ktorej ste skončili.

Dva výsledky sú možné a vyžadujú si rôzne opravy. Ak stránka poskytuje HTTPS na tom istom hostiteľovi, opravou je zastaviť zverejňovanie formulára HTTP: aktualizujte záložku, odkaz na wiki, odkaz na pracovnej ploche a šablónu e-mailu, na ktorú ľudia klikajú. Ak stránka vôbec neposkytuje HTTPS, nevytvorí ju žiadne nastavenie prehliadača a úprimná odpoveď je, že problém je v cieli. Neprepisujte druhý prípad s výnimkou, pretože výnimka certifikátu na stránke účtu premení problém s prenosom na problém s poverením. Skôr než sa dotknete nastavenia, zapíšte si, v ktorom prípade ste.

Krok 2: zapnite v prehliadači režim iba HTTPS

Režim inovácie je druhá časť a tieto režimy nie sú vzájomne zameniteľné. Pred povolením skontrolujte, čo robí ten váš: inovujte v tichosti, inovujte s upozornením alebo odmietnite načítanie.

Vo Firefoxe sú ovládacie prvky umiestnené za about:config a na stránke s nastaveniami ochrany osobných údajov s dom.security.https_only_mode ako prepínačom a výnimkami pre jednotlivé stránky spravovanými z ponuky visiaceho zámku. V prehliadači Chrome a Edge sa rovnaký nápad nachádza v časti Nastavenia, Súkromie a zabezpečenie, Zabezpečenie s označením Vždy používať zabezpečené pripojenia. Bez ohľadu na označenie overte správanie voči hostiteľovi, ktorý odpovedá iba na porte 80, pretože režim, ktorý sa aktualizuje a potom sa v tichosti vráti späť, nie je ochrana, o ktorej si myslíte, že ste ju povolili. Dokumentácia iba HTTPS pre Firefox vysvetľuje správanie pri inovácii, varovaní a výnimkách pre tento prehliadač.

Krok 3: opravte zdroje, nielen panel s adresou

Keď inovácia zlyhá, namiesto panela s adresou si prečítajte presnú chybu. Hostiteľ bez poslucháča HTTPS, názov hostiteľa, ktorý sa nezhoduje s certifikátom, a reťazec s vypršanou platnosťou vytvárajú rôzne správy a patria rôznym vlastníkom. Len prvá je medzera na strane servera; druhá je zvyčajne záložka, ktorá nebola nikdy aktualizovaná; tretí je problém s obnovením, pre ktorý je pripojenie VPN irelevantné.

Nepridávajte výnimku certifikátu na stránku účtu, pretože sieť VPN je zapnutá. Výnimka zakáže kontrolu, ktorá by presne zachytila zachytenie, ktorému má VPN zabrániť.

Tretia časť sa nachádza na stránke a je to tá, ktorá ľuďom chýba. Stránka, ktorá sa načítava cez HTTPS, môže stále získavať obrázky, fonty alebo skripty z http URL a prehliadač ich buď zablokuje, alebo zníži bezpečnostný indikátor pre celú stránku. Skontrolujte neúspešné požiadavky na paneli siete a opravte odkazy na zdroje u ich vlastníka, namiesto toho, aby ste predpokladali, že panel s adresou popisuje každú požiadavku. Na webe, ktorý prevádzkujete, to znamená opravu uložených adries URL v CMS alebo šablóne namiesto ich prepisovania v prehliadači. Ak nemôžete zmeniť zdroj, zaznamenajte zmiešaný obsah ako známu medzeru, pretože visiaci zámok nad stránkou, ktorý sťahuje zdroje s otvoreným textom, je falošný signál.

Krok 4: čo HSTS pridáva a čo nie

HSTS je skôr politikou lokality než preferenciou prehliadača a je to jediný mechanizmus, ktorý prežije zadanie http:// v novom profile. Keď prehliadač uvidí hlavičku Strict-Transport-Security pre hostiteľa, prepíše neskoršie požiadavky na https pred ich odoslaním, čo je presne tá vlastnosť, ktorú chcete. Nerobí nič pre hostiteľa, ktorého prehliadač nikdy nenavštívil, ani nič pre iný názov hostiteľa, ktorý slúži rovnakej aplikácii.

Skontrolujte, čo odosiela pôvod pomocou curl -sSI https://example.com | grep -i strict-transport-security. Chýbajúca hlavička je zmena servera a nie niečo, čo môže nainštalovať klient. Ak je prítomný, prečítajte si max-age a či je nastavený includeSubDomains, pretože medzi návštevami uplynie krátky maximálny vek a chýbajúce includeSubDomains ponecháva každú subdoménu nechránenú. RFC 6797 definuje, ako používateľský agent aplikuje politiku a čo môže ignorovať. Predbežné načítanie je samostatný záväzok, preto si skontrolujte stav prostredníctvom rozhrania hstspreload.org API skôr, ako niekomu prisľúbite, že doména je na zozname.

Overenie a vrátenie späť

Vrátenie zmien je lacné pre nastavenia klienta a drahé pre HSTS. Vypnutím režimu iba HTTPS sa okamžite obnoví predchádzajúce správanie; dlhý maximálny vek nie a návštevníci, ktorí ho už dostali, pokračujú v inovácii, kým nevyprší jeho platnosť.

Pred tým, ako to zavoláte, overte poradie. Znova načítajte zo studenej vyrovnávacej pamäte a potvrďte, že prvá požiadavka na paneli siete je https bez predchádzajúceho presmerovania. Potom skontrolujte subdoménu, pretože includeSubDomains je miesto, kde sa tieto pravidlá zvyčajne ukážu byť užšie, ako sa predpokladá. Potom skontrolujte jednu stránku, ktorá sťahuje podklady tretích strán, pretože zmiešaný obsah je zlyhanie, ktoré prežije každú ďalšiu opravu.

Ak je po tom všetkom prvá požiadavka stále http, klient už nie je premennou: odkaz, na ktorý ľudia kliknú, je. Vyhľadajte na miestach, ktoré ovládate, formu http názvu hostiteľa, aktualizujte ich a znova otestujte s rovnakým opätovným načítaním studenej vyrovnávacej pamäte. Otázku VPN ponechajte oddelene, pretože tunel mení, kto môže žiadosť vidieť, a nikdy sa nezmení, či je žiadosť šifrovaná. Riadok, ktorý sa má vložiť do tiketu, je, že prvá požiadavka je tá, na ktorej záleží, a presmerovanie je len potvrdenie o už odoslanej žiadosti.