Jinsi ya kufanya HTTPS kuwa Ombi la Kwanza Kupitia VPN

Kivinjari kinachoandika http:// kwanza na kutua kwenye https:// baada ya kuelekeza kwingine tayari kimetuma ombi moja kwa uwazi, na VPN haibadilishi hilo. Tunnel inalinda sehemu kutoka kwa mteja hadi node ya kuondoka; haifiche chochote juu ya safu ya usafirishaji, kwa hivyo mtazamaji kati ya kutoka na asili bado anaona hop ya maandishi wazi. Kufanya HTTPS kuwa ombi la kwanza ni badiliko la upande wa mteja lenye sehemu tatu: anwani halisi ya HTTPS, hali ya kuboresha kivinjari, na sera ya tovuti yenyewe. Hatua zilizo hapa chini ni agizo ninalotumia, kila moja ikiwa na hundi inayokuambia ikiwa ilichukua.

Hatua ya 1: thibitisha ombi la kwanza ni nini

Kabla ya kubadilisha chochote, angalia kile kivinjari kinatuma. Fungua jopo la mtandao na ukurasa uliopakiwa tena kutoka kwenye cache ya baridi na usome mstari wa kwanza: ikiwa mpango ni http na hali ni 301 au 308, kila kitu baada ya safu hiyo ni ombi la pili. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com inazalisha tena mlolongo sawa nje ya kivinjari na kuchapisha URL uliyoishia.

Matokeo mawili yanawezekana na yanahitaji marekebisho tofauti. Ikiwa tovuti inatoa HTTPS kwa seva pangishi sawa, marekebisho ni kuacha kuchapisha fomu ya HTTP: sasisha alamisho, kiungo cha wiki, njia ya mkato ya eneo-kazi na kiolezo cha barua pepe ambacho watu wanabofya. Ikiwa tovuti haitumii HTTPS kabisa, hakuna mipangilio ya kivinjari itaiunda, na jibu la uaminifu ni kwamba tatizo ndilo lengo. Usiandikie kesi ya pili kwa ubaguzi, kwa sababu ubaguzi wa cheti kwenye ukurasa wa akaunti hubadilisha tatizo la usafiri kuwa tatizo la kitambulisho. Andika chini upo katika hali gani kabla ya kugusa mpangilio.

Hatua ya 2: washa hali ya kivinjari ya HTTPS pekee

Hali ya kuboresha ni sehemu ya pili, na modi hazibadiliki. Angalia kile chako hufanya kabla ya kuiwasha: pata toleo jipya la kimya kimya, pata toleo jipya la onyo, au kataa kupakia.

Katika Firefox vidhibiti vinaishi nyuma ya about:config na katika ukurasa wa mipangilio ya faragha, na dom.security.https_only_mode kama swichi na vighairi vya kila tovuti vinavyodhibitiwa kutoka kwa menyu ya kufuli. Katika Chrome na Edge wazo moja liko chini ya Mipangilio, Faragha na usalama, Usalama, iliyo na lebo Tumia miunganisho salama kila wakati. Chochote lebo, thibitisha tabia dhidi ya seva pangishi ambayo hujibu tu kwenye port 80, kwa sababu modi inayosasishwa na kisha kurudi nyuma kimyakimya sio ulinzi unaofikiri kuwa umewasha. Hati za Firefox HTTPS-Only zinaelezea uboreshaji, onyo na tabia ya kipekee kwa kivinjari hicho.

Hatua ya 3: rekebisha rasilimali, sio tu upau wa anwani

Usasishaji unaposhindwa, soma hitilafu kamili badala ya upau wa anwani. Mpangishi asiye na kisikilizaji cha HTTPS, jina la mpangishaji ambalo halilingani na cheti na msururu ulioisha muda wake hutoa ujumbe tofauti na ni wa wamiliki tofauti. Ya kwanza tu ni pengo la upande wa seva; ya pili kawaida ni alamisho ambayo haikusasishwa kamwe; la tatu ni tatizo la kufanya upya ambalo muunganisho wa VPN hauhusiani nalo.

Usiongeze ubaguzi wa cheti kwenye tovuti ya akaunti kwa sababu VPN imewashwa. Isipokuwa hivyo huzima hundi ambayo ingekamata hasa unyanyasaji ambao VPN inakusudiwa kuzuia.

Sehemu ya tatu iko ndani ya ukurasa, na ni ile ambayo watu wanaikosa. Ukurasa unaopakia juu ya HTTPS bado unaweza kuvuta picha, fonti au hati kutoka kwa URL ya http, na kivinjari kitazizuia au kupunguza kiwango cha kiashirio cha usalama cha ukurasa mzima. Kagua maombi yaliyoshindikana kwenye kidirisha cha mtandao na urekebishe marejeleo ya rasilimali kwa mmiliki wao badala ya kudhani upau wa anwani unafafanua kila ombi. Kwenye tovuti unayoendesha, hiyo inamaanisha kusahihisha URL zilizohifadhiwa kwenye CMS au kiolezo badala ya kuziandika upya kwenye kivinjari. Ikiwa huwezi kubadilisha chanzo, rekodi maudhui mseto kama pengo linalojulikana, kwa sababu kufuli juu ya ukurasa inayovuta nyenzo za maandishi wazi ni ishara ya uwongo.

Hatua ya 4: HSTS inaongeza nini na haiongezei

HSTS ni sera ya tovuti badala ya upendeleo wa kivinjari, na ndiyo njia pekee hapa ambayo inasalia na http:// iliyochapwa kwenye wasifu mpya. Mara baada ya kivinjari kuona kichwa cha Strict-Transport-Security kwa mwenyeji, huandika upya maombi ya baadaye kwa https kabla ya kuyatuma, ambayo ndiyo sifa unayotaka. Haifanyi chochote kwa mwenyeji ambaye kivinjari hakijawahi kumtembelea, na haifanyi chochote kwa jina la mpangishi tofauti linalotumia programu sawa.

Angalia asili inatuma nini kwa curl -sSI https://example.com | grep -i strict-transport-security. Kichwa kinachokosekana ni mabadiliko ya seva na sio kitu ambacho mteja anaweza kusakinisha. Iwapo ipo, soma max-age na kama includeSubDomains imewekwa, kwa sababu umri wa juu zaidi unaisha kati ya matembezi na kukosa includeSubDomains huacha kila kikoa bila ulinzi. RFC 6797 inafafanua jinsi wakala wa mtumiaji anavyotumia sera na kile anachoweza kupuuza. Upakiaji mapema ni ahadi tofauti, kwa hivyo angalia hali kupitia hstspreload.org API kabla ya kuahidi mtu yeyote kuwa kikoa kiko kwenye orodha.

Uthibitishaji na urejeshaji nyuma

Kurudisha nyuma ni nafuu kwa mipangilio ya mteja na ni ghali kwa HSTS. Kuzima hali ya HTTPS pekee hurejesha tabia ya awali mara moja; umri wa juu haifanyi, na wageni ambao tayari wameipokea wanaendelea kuboresha hadi muda wake utakapoisha.

Kwa hivyo thibitisha kwa mpangilio kabla ya kuiita. Pakia upya kutoka kwa kache baridi na uthibitishe ombi la kwanza kwenye paneli ya mtandao ni https bila kuelekeza kwingine. Kisha angalia kikoa kidogo, kwa sababu includeSubDomains ndipo sera hizi kwa kawaida huwa finyu kuliko inavyodhaniwa. Kisha angalia ukurasa mmoja unaovuta vipengee vya watu wengine, kwa kuwa maudhui mchanganyiko ni kutofaulu kwa kila marekebisho mengine.

Ikiwa ombi la kwanza bado ni http baada ya hayo yote, mteja sio kigeu tena: kiungo ambacho watu wanabofya ni. Tafuta maeneo unayodhibiti kwa fomu ya http ya jina la mpangishaji, yasasishe, na ujaribu tena kwa upakiaji sawa wa akiba baridi. Weka swali la VPN likiwa tofauti kote, kwa sababu handaki hubadilisha ni nani anayeweza kuona ombi na kamwe halibadilishi ikiwa ombi limesimbwa kwa njia fiche. Mstari wa kuweka katika tiketi ni kwamba ombi la kwanza ndilo la muhimu, na kuelekeza kwingine ni risiti tu ya ombi ambalo tayari limetumwa.