Maudhui mchanganyiko nyuma ya VPN: rekebisha rasilimali, sio handaki

Ukurasa wa HTTPS unaopakia skripti kupitia HTTP hufanya maombi mawili kwa viwango viwili tofauti vya ulinzi, na kufuli inaelezea la kwanza pekee. Handaki haibadilishi hilo, kwa sababu inalinda mbebaji na sio mpango wa rasilimali yenyewe. Kivinjari tayari kinakuambia ombi gani lililoshindwa, ikiwa unasoma konsoli badala ya upau wa anwani. Ukaguzi tatu hukupeleka kutoka ukurasa unaofanya kazi nusu hadi ukarabati halisi.

Soma ombi, sio upau wa anwani

Hati iliyopatikana kupitia HTTPS inaweza kurejelea skripti, laha ya mtindo, fonti au fremu kupitia HTTP ya kawaida. Rejeleo hilo ni ombi tofauti, na ndilo kivinjari kinacholalamikia. Ulinzi wa hati kuu hauendi nyuma ndani yake, na handaki inayobeba mitiririko yote miwili haibadilishi mpango wowote. Kwa hivyo ukurasa unaweza kuwa salama kweli na umevunjika kweli kwa wakati mmoja.

Kuita rasilimali tu faili iliyojumuishwa hakufanyi uingizwaji wake kuwa usio na madhara.

Ikiwa maudhui ya skripti isiyo salama yanaweza kubadilishwa njiani kisha kutekelezwa, yanaweza kubadilisha jinsi ukurasa unavyofanya kazi, na hilo ni tatizo kubwa kuliko hitilafu ya mwonekano. Picha hubeba hatari ndogo lakini halisi zinapobadilishwa njiani. Kufuli haisemi uongo kuhusu chochote. Inajibu swali jembamba zaidi kuliko lile uliloiuliza.

Jua rasilimali zipi zinazuiwa na zipi zinapandishwa daraja

Vivinjari havichukulii kila aina ya rasilimali sawa. mwongozo wa maudhui mchanganyiko hutenganisha maombi yanayopandishwa daraja hadi HTTPS na yale yanayozuiwa kabisa, huku skripti, laha za mtindo na maombi ya programu yakiwa upande uliozuiwa, ilhali picha na midia zinaweza kupandishwa daraja au kuwekewa alama badala yake.

Tofauti hiyo inaelezea ripoti zenye mkanganyiko. Ukurasa wenye skripti iliyozuiwa hupoteza kipengele kabisa, ilhali ukurasa wenye picha iliyopandishwa daraja huonekana vizuri na kwa utulivu umebadilisha ombi lake. Makundi yaliyoandikwa yana vighairi pia, kwa hivyo usidhani kila URL ya aina fulani itapandishwa daraja kwa mafanikio. Soma kile konsoli inasema kuhusu ombi mahususi badala ya kufikiri kutokana na kiendelezi cha faili.

Wijeti iliyozuiwa sio ushahidi kwamba handaki ilishindwa. Ni ushahidi kwamba kivinjari kilifanya kazi yake.

Rekebisha rejeleo kwenye chanzo chake

Kwa mmiliki wa tovuti, ukarabati unamiliki mahali ambapo URL isiyo salama iliandikwa: kiolezo, laha ya mtindo, skripti inayounganisha URL, au kipengele cha mtu wa tatu. Kubadilisha anwani inayoonekana ya ukurasa kunaacha vyote hivyo bila kuguswa. Tafuta chanzo kwa mwenyeji na urekebishe kila rejeleo, sio lile moja tu ambalo konsoli ililitaja kwa bahati.

Kisha thibitisha kwamba rasilimali inatumiwa kweli kupitia HTTPS na utambulisho halali, kwa sababu kubadilisha mpango hakuwezi kuunda huduma ambayo haikuwahi kuchapishwa hapo.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Fuata pia uelekezaji upya, kwa sababu rejeleo linaloanza na HTTPS bado linaweza kutua kwenye njia ya uwasilishaji ya maandishi wazi. Pale ambapo utegemezi hauna kabisa uwasilishaji salama, uondoe au ubadilishe kupitia mchakato wa kawaida wa mabadiliko badala ya kupeleka suluhisho la kuzunguka. Kwa mtumiaji, acha ulinzi wa kivinjari ukiwa umewashwa na ripoti URL ya rasilimali, aina yake na ujumbe wa konsoli kwa mmiliki wa tovuti. Kamwe usisambaze maagizo yanayowaambia wafanyakazi kuruhusu maudhui yasiyo salama kwa ukurasa mmoja, kwa sababu kighairi hicho huishi muda mrefu kuliko tukio lililolileta.

Jaribu ukurasa tena jinsi watumiaji wanavyougusa

Fanya mazoezi ya shughuli zinazopakia rasilimali kwa ombi, sio hati ya kwanza pekee. Kurasa huleta msimbo, data na vipakuliwa vya ziada baada ya kitufe kubonyezwa, na maombi hayo mara nyingi ndiyo yasiyo salama. Thibitisha maombi mahususi na tabia inayoonekana wakati ulinzi bado umewashwa. Jaribio linaloanza na wasifu wa kivinjari uliolegezwa haliwezi kukuonyesha kile mtumiaji wa kawaida anachoona.

Handaki bado ina kazi yake, na kazi hiyo ni upatikanaji wa mtandao, sio uadilifu wa ukurasa.

Pindi trafiki inapoondoka kwenye sehemu ya mwisho ya handaki, upataji wowote wa HTTP uliobaki haukupata chochote kutoka kwa mbebaji. Rekebisha njia ya rasilimali na weka utekelezaji wa kivinjari mahali pake. Kuchukulia tabaka jingine la usafirishaji kama ukarabati wa utegemezi usio salama ndiyo njia ambayo timu huishia na skripti ya dawati la msaada inayozima udhibiti uliokuwa ukifanya kazi kwa usahihi.