Kako narediti HTTPS prvo zahtevo prek VPN

Brskalnik, ki najprej vnese http:// in po preusmeritvi pristane na https://, je že poslal eno zahtevo v čisti obliki in VPN tega ne spremeni. Tunel ščiti nogo od klienta do izhodnega vozlišča; ne šifrira ničesar nad transportno plastjo, tako da opazovalec med izhodom in izvorom še vedno vidi skok v navadnem besedilu. Nastavitev HTTPS kot prve zahteve je sprememba na strani odjemalca s tremi deli: dejanski naslov HTTPS, način nadgradnje brskalnika in lastna politika spletnega mesta. Spodnji koraki so naročilo, ki ga uporabljam, vsak s čekom, ki vam pove, ali je bilo potrebno.

1. korak: potrdite, kaj je prva zahteva dejansko

Preden kar koli spremenite, poglejte, kaj pošilja brskalnik. Odprite omrežno ploščo s stranjo, ponovno naloženo iz hladnega predpomnilnika, in preberite prvo vrstico: če je shema http in je status 301 ali 308, je vse za to vrstico druga zahteva. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com reproducira isto zaporedje zunaj brskalnika in natisne URL, na katerem ste končali.

Možna sta dva izida in potrebujeta različne popravke. Če spletno mesto služi HTTPS na istem gostitelju, je popravek ustavitev objavljanja obrazca HTTP: posodobite zaznamek, povezavo wiki, bližnjico na namizju in e-poštno predlogo, ki jo ljudje kliknejo. Če spletno mesto sploh ne uporablja HTTPS, ga nobena nastavitev brskalnika ne bo ustvarila in pošten odgovor je, da je cilj cilj. Ne prekrivajte drugega primera z izjemo, ker izjema potrdila na strani računa pretvori težavo s transportom v težavo s poverilnicami. Preden se dotaknete nastavitve, si zapišite, v katerem primeru ste.

2. korak: v brskalniku vklopite način samo HTTPS

Način nadgradnje je drugi del in načina nista zamenljiva. Preverite, kaj počne vaš, preden ga omogočite: nadgradite tiho, nadgradite z opozorilom ali zavrnite nalaganje.

V Firefoxu se kontrolniki nahajajo za about:config in na strani z nastavitvami zasebnosti, z dom.security.https_only_mode kot stikalom in izjemami za posamezna mesta, ki se upravljajo v meniju ključavnice. V Chromu in Edgeu je enaka ideja pod Nastavitve, Zasebnost in varnost, Varnost, označena z Vedno uporabljaj varne povezave. Ne glede na oznako preverite vedenje proti gostitelju, ki se odziva samo na vratih 80, ker način, ki se nadgradi in nato tiho prekine, ni zaščita, za katero mislite, da ste jo omogočili. Dokumentacija za Firefox samo HTTPS opisuje nadgradnjo, opozorila in izjeme za ta brskalnik.

3. korak: popravite vire, ne samo naslovno vrstico

Ko nadgradnja ne uspe, preberite natančno napako namesto naslovne vrstice. Gostitelj brez poslušalca HTTPS, ime gostitelja, ki se ne ujema s potrdilom, in potekla veriga ustvarjajo različna sporočila in pripadajo različnim lastnikom. Samo prva je vrzel na strani strežnika; drugi je običajno zaznamek, ki ni bil nikoli posodobljen; tretji je problem obnove, za katerega povezava VPN ni pomembna.

Ne dodajte izjeme potrdila na mesto računa, ker je VPN vklopljen. Izjema onemogoči preverjanje, ki bi zajelo točno tisto prestrezanje, ki naj bi ga VPN preprečil.

Tretji del je znotraj strani in je tisti, ki ga ljudje pogrešajo. Stran, ki se nalaga prek HTTPS, lahko še vedno črpa slike, pisave ali skripte iz http URL-ja, brskalnik pa jih bo blokiral ali znižal varnostni indikator za celotno stran. Preglejte neuspele zahteve v omrežni plošči in popravite reference virov pri njihovem lastniku, namesto da bi domnevali, da naslovna vrstica opisuje vsako zahtevo. Na spletnem mestu, ki ga uporabljate, to pomeni popravljanje shranjenih URL-jev v CMS ali predlogi, namesto da bi jih prepisali v brskalniku. Če ne morete spremeniti vira, zabeležite mešano vsebino kot znano vrzel, ker je ključavnica nad stranjo, ki vleče vire navadnega besedila, napačen signal.

4. korak: kaj HSTS doda in česa ne

HSTS je pravilo spletnega mesta in ne nastavitev brskalnika in je edini mehanizem tukaj, ki preživi vtipkan http:// na svežem profilu. Ko brskalnik vidi glavo Strict-Transport-Security za gostitelja, poznejše zahteve prepiše na https, preden jih pošlje, kar je natanko tista lastnost, ki jo želite. Ne naredi nič za gostitelja, ki ga brskalnik še nikoli ni obiskal, in nič za drugo ime gostitelja, ki služi isti aplikaciji.

Preverite, kaj pošilja izvor z curl -sSI https://example.com | grep -i strict-transport-security. Manjkajoča glava je sprememba strežnika in ne nekaj, kar bi lahko namestil odjemalec. Če je prisoten, preberite max-age in ali je includeSubDomains nastavljen, ker med obiski poteče kratka najvišja starost in manjkajoče includeSubDomains pustijo vsako poddomeno nezaščiteno. RFC 6797 določa, kako uporabniški agent uporablja pravilnik in kaj lahko prezre. Prednalaganje je ločena zaveza, zato preverite stanje prek API-ja hstspreload.org, preden komur koli obljubite, da je domena na seznamu.

Preverjanje in povrnitev nazaj

Povratek je poceni za nastavitve odjemalca in drag za HSTS. Če izklopite način samo HTTPS, se prejšnje vedenje takoj obnovi; dolga najvišja starost ne velja in obiskovalci, ki so jo že prejeli, nadgrajujejo, dokler ne poteče.

Zato preverite po vrstnem redu, preden zaključite, da je dokončano. Znova naložite iz hladnega predpomnilnika in potrdite, da je prva zahteva v omrežni plošči https brez predhodne preusmeritve. Nato preverite poddomeno, ker se pri includeSubDomains te politike običajno izkažejo za ožje, kot se domneva. Nato preverite eno stran, ki črpa sredstva tretjih oseb, saj je mešana vsebina napaka, ki preživi vse druge popravke.

Če je prva zahteva po vsem tem še vedno http, odjemalec ni več spremenljivka: povezava, ki jo ljudje kliknejo, je. Na mestih, ki jih nadzorujete, poiščite http obliko imena gostitelja, jih posodobite in ponovno preizkusite z istim ponovnim nalaganjem hladnega predpomnilnika. Vprašanje VPN naj bo ves čas ločeno, ker tunel spremeni, kdo lahko vidi zahtevo, in nikoli ne spremeni, ali je zahteva šifrirana. Vrstica, ki jo je treba vnesti v vstopnico, je, da je prva zahteva tista, ki je pomembna, preusmeritev pa je le potrdilo o že poslani zahtevi.