VPN imeunganishwa lakini maudhui mchanganyiko bado yamezuiwa: nini cha kurekebisha

Nusu ya ukurasa huonyeshwa, karatasi moja ya mitindo inaonekana kijivu kwenye paneli ya Mtandao, na mteja wa VPN bado anaripoti handaki yenye afya. Uchunguzi wote watatu ni kweli kwa wakati mmoja, kwa sababu kivinjari kiliamua ombi lililofanywa na ukurasa na handaki haikuwa na sauti katika uamuzi huo. Kinachofunga kesi ni uamuzi, si mpangilio: rekebisha rejeo, lipeleke kwa mmiliki wa mwenyeji, au acha utegemezi. Kila moja ya chaguo hizi ina jaribio la bei nafuu, na kuchagua ile isiyofaa hutumia mzunguko mmoja wa msaada.

Kwa nini handaki haiwezi kufunika rasilimali ndogo

Maudhui mchanganyiko huanza na hati ya HTTPS inayoomba rasilimali ndogo kupitia HTTP tupu. Kila URL huamuliwa kwa mpango wake yenyewe, kwa hivyo ulinzi wa hati mzazi hauenei kamwe kwa ombi la mtoto. Usimbaji fiche unaoongezwa chini ya kivinjari hubadilisha kinachosafiri kwenye waya, si http:// ambayo markup iliomba.

Vivinjari vya sasa hugawanya maombi haya katika makundi mawili na huyashughulikia tofauti. Skripti, karatasi za mitindo, iframe na simu kupitia fetch, XMLHttpRequest au WebSocket hukataliwa moja kwa moja, bila jaribio la uboreshaji kwanza. Picha, sauti na video huandikwa upya kuwa https:// na kuombwa tena, na upakiaji huachwa wakati upataji salama huo unashindikana. URL ya rasilimali ndogo ambayo mwenyeji wake ni anwani tupu ya IP haijumuishwi kwenye uboreshaji, kwa hivyo picha ya HTTP kwenye mwenyeji wa IP inabaki imezuiwa badala ya kurekebishwa kimyakimya. Mgawanyo huo, ukiwemo msamaha huo upande unaoweza kuboreshwa, umeandikwa katika mwongozo wa Mozilla wa maudhui mchanganyiko. Chrome hutumia katazo sawa kwa vipakuliwa visivyo salama vinavyoanzishwa kutoka ukurasa salama, ndiyo sababu kiungo cha PDF kinaweza kufa wakati ukurasa unaozunguka unaonekana mzima.

Mstari wa kijivu kwa hivyo ni uthibitisho kwamba udhibiti unafanya kazi, si uthibitisho kwamba handaki ilivujisha maandishi wazi. Chukulia mstari huo kama ugunduzi unaoelekeza kwenye rejeo moja, si ukurasa wote.

Bainisha rejeo lisilo salama ni la nani

Panga URL yenye tatizo kulingana na inapotengenezwa kabla ya kubadilisha chochote. Jibu hilo huamua kama unaweza kutoa marekebisho leo, kama msambazaji anapaswa kutoa moja, au kama utegemezi unapaswa kuondoka kwenye ukurasa. Lisome kwenye safu ya Initiator kwenye paneli ya Mtandao, kwa sababu markup iliyo kwenye skrini mara nyingi hukusanywa wakati wa utekelezaji.

Wakati mwenyeji tayari anajibu kwenye 443 na rejeo pekee linasema http, marekebisho ni ya ndani: badilisha rejeo, safisha akiba ya ukurasa na thibitisha kuwa mstari unakuwa https. Mwenyeji anayesikiliza bandari 80 pekee hawezi kufanywa kuwa mtiifu kwa kuhariri, kwa hivyo rasilimali huhamia, kuwekwa kitu unachodhibiti mbele yake, au kutoweka. URL iliyoingizwa na msimamizi wa lebo inaendelea kuonekana hata kiolezo chako yenyewe kikiwa safi, na kesi hiyo iko kwenye tiketi iliyoambatanishwa na URL kamili na mstari wa konsoli. Kuwaambia wafanyakazi waruhusu maudhui yasiyo salama si moja ya chaguo hizi, kwa sababu huzima ukaguzi kwa kila tovuti inayotembelewa na wasifu huo wa kivinjari.

Rekebisha rejeo, si mpangilio wa kivinjari

Pakia upya mtiririko unaoshindikana huku kumbukumbu ya mtandao imehifadhiwa na chuja paneli kwa mwenyeji unaomshuku. Konsoli inataja URL na agizo, ambayo huamua kama ombi lilikataliwa au kuboreshwa kabla ya kugusa kiolezo.

curl -sSI https://cdn.example.org/vendor.js | head -n 1
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' -L https://cdn.example.org/vendor.js

Vidhibiti viwili vya msaada vinafaa kufahamika, na hakuna kinachobadilisha marekebisho. Kichwa cha Content-Security-Policy kilicho na upgrade-insecure-requests hufanya kivinjari kuandika upya URL za rasilimali ndogo za http kabla hazijaondoka kwenye ukurasa, jambo linalonasa rejeo za zamani ambazo hujazipata bado. Ombi lililoandikwa upya bado linashindikana wakati mwenyeji lengwa hautoi HTTPS, kwa hivyo kichwa hubadilisha tu ni URL ipi kivinjari kinajaribu. HSTS hufanya kazi kwa kila mwenyeji, ikimaanisha sera kwenye kikoa chako yenyewe haifanyi chochote kwa CDN ya mtu wa tatu ambaye hakuwahi kutuma kichwa hicho. Baada ya kubadilisha kiolezo, safisha akiba ya ukurasa na utafute jina la zamani la mwenyeji kwenye HTML iliyoonyeshwa, kwa sababu URL hiyo hiyo inaweza kuja pia kupitia sehemu, mfuatano wa tafsiri au uwanja wa hifadhidata.

Fuatilia pia uelekezaji upya, kwa sababu mnyororo unaoanza na https:// unaweza kutua kwenye eneo la http:// na kivinjari huamua mruko wa mwisho. Umbo la -L amri ya pili hapo juu huchapisha URL hiyo yenye matokeo kwa ajili yako. Ikiwa mruko wa mwisho ni http tupu, rejeo bado si sahihi ingawa kiungo ulichohariri kilionekana vizuri.

Thibitisha ukurasa kwa konsoli na paneli ya mtandao

Pakia upya huku akiba imezimwa na upitie mtiririko tena, ukiwemo vitufe vinavyopakia maudhui kwa ombi. Upakiaji wa kwanza wa ukurasa huficha vidude wavivu, vigae vya ramani na skripti za kichezaji vinavyoonekana tu baada ya kubofya. Konsoli haipaswi kuwa na maingizo ya maudhui mchanganyiko na kila mstari uliogusa unapaswa kuonyesha https. Nasa konsoli na mstari wa ombi kabla ya kufunga tiketi, kwa sababu hali hiyo ni ngumu kuijenga upya baada ya usambazaji unaofuata.

Wakati rasilimali ni ya mtu mwingine, tuma vitu vinne: URL kamili, aina ya ombi, maandishi ya konsoli na ukurasa inapoonekana. Ficha vitambulisho vya kipindi katika kila kitu unachobandika kwenye tiketi. Ripoti inayosema tu kwamba picha zimevunjika haimpi mmiliki chochote cha kutafuta.

Handaki inaendelea kufanya kazi yake yenyewe wakati marekebisho yapo kwenye rejeo lililotengeneza ombi. Baada ya usambazaji tafuta jina la mwenyeji mara moja zaidi kwenye kiolezo na kifurushi cha msambazaji, na funga kesi tu wakati hakuna ingizo la maudhui mchanganyiko lililozuiwa lililobaki kwenye konsoli.