Mešana vsebina za VPN: popravite vir, ne tunel

Stran HTTPS, ki nalaga skripte po HTTP, izvede dve zahtevi z dvema različnima ravnema zaščite, ključavnica pa opisuje le prvo. Tunel tega ne spremeni, ker ščiti nosilec in ne lastne sheme vira. Brskalnik vam že pove, katera zahteva ni uspela, če berete konzolo namesto naslovne vrstice. Tri preverjanja vas popeljejo od delno delujoče strani do resničnega popravila.

Berite zahtevo, ne naslovne vrstice

Dokument, pridobljen po HTTPS, se lahko sklicuje na skript, slogovno datoteko, pisavo ali okvir po navadnem HTTP. Ta sklic je ločena zahteva in prav nanjo se pritožuje brskalnik. Zaščita glavnega dokumenta se ne prenese nazaj vanj, tunel, ki nosi oba toka, pa ne spremeni nobene sheme. Stran je zato lahko hkrati resnično varna in resnično pokvarjena.

Če vir preprosto imenujemo priložena datoteka, to ne naredi njegove zamenjave neškodljive.

Če je nezaščiteno vsebino skripta mogoče na poti spremeniti in nato izvesti, lahko spremeni vedenje strani, kar je večja težava kot kozmetična napaka. Slike nosijo manjše, a resnično tveganje, ko se na poti spremenijo. Ključavnica ne laže o ničemer. Odgovarja na ožje vprašanje od tistega, ki ste ji ga postavili.

Vedite, kateri viri so blokirani in kateri povišani

Brskalniki ne obravnavajo vsake vrste vira enako. smernice o mešani vsebini ločujejo zahteve, povišane na HTTPS, od zahtev, ki so povsem blokirane: skripti, slogovne datoteke in programske zahteve so na blokirani strani, medtem ko so slike in mediji lahko namesto tega povišani ali označeni.

Ta razlika pojasnjuje zmedena poročila. Stran z blokiranim skriptom popolnoma izgubi funkcijo, medtem ko je stran s povišano sliko videti dobro in je tiho spremenila svojo zahtevo. Dokumentirane kategorije imajo tudi izjeme, zato ne predpostavljajte, da bo vsak URL določene vrste uspešno povišan. Berite, kaj konzola pravi o konkretni zahtevi, namesto da sklepate iz končnice datoteke.

Blokiran pripomoček ni dokaz, da je tunel odpovedal. Je dokaz, da je brskalnik opravil svoje delo.

Popravite sklic v njegovem viru

Za lastnika spletnega mesta popravilo sodi tja, kjer je bil zapisan nevaren URL: predloga, slogovna datoteka, skript, ki sestavlja URL-je, ali komponenta tretje strani. Spreminjanje vidnega naslova strani vse to pusti nedotaknjeno. V viru poiščite gostitelja in popravite vsak sklic, ne le tistega, ki ga je konzola slučajno navedla.

Nato potrdite, da se vir resnično streže po HTTPS z veljavno identiteto, ker zamenjava sheme ne more pričarati storitve, ki tam ni bila nikoli objavljena.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Sledite tudi preusmeritvam, ker sklic, ki se začne s HTTPS, lahko še vedno pristane na dostavni poti z odprtim besedilom. Ko odvisnost preprosto nima varne dostave, jo odstranite ali zamenjajte po običajnem procesu spremembe, namesto da pošiljate obhod. Za uporabnika pustite zaščite brskalnika vklopljene in sporočite lastniku spletnega mesta URL vira, njegovo vrsto in sporočilo konzole. Nikoli ne širite navodil, ki zaposlenim narekujejo, naj za eno stran dovolijo nevarno vsebino, ker ta izjema preživi incident, ki jo je sprožil.

Znova preizkusite stran tako, kot se je uporabniki dotaknejo

Vadite postopke, ki nalagajo vire na zahtevo, ne samo prvega dokumenta. Strani po pritisku gumba pridobijo dodatno kodo, podatke in prenose, in te zahteve so pogosto nevarne. Potrdite konkretne zahteve in vidno vedenje z zaščito, ki je še vedno vklopljena. Preizkus, ki se začne z omiljenim profilom brskalnika, vam ne more pokazati, kaj vidi običajen uporabnik.

Tunel ima še vedno svoje delo, in to delo je omrežni dostop, ne celovitost strani.

Ko promet zapusti končno točko tunela, nobeno preostalo pridobivanje HTTP ni pridobilo ničesar od nosilca. Popravite pot vira in ohranite uveljavljanje v brskalniku. Obravnavanje še ene transportne plasti kot popravila nevarne odvisnosti je pot, po kateri ekipa konča s skriptom pomoči, ki izklopi nadzor, ki je deloval pravilno.