Qanday qilib HTTPS-ni VPN orqali birinchi so'rov qilish mumkin

Avval http:// yozadigan va qayta yoʻnaltirishdan soʻng https:// manziliga tushadigan brauzer aniq soʻrov yuborgan va VPN buni oʻzgartirmaydi. Tunnel oyoqni mijozdan chiqish tuguniga qadar himoya qiladi; u transport qatlami ustidagi hech narsani shifrlamaydi, shuning uchun chiqish va boshlang'ich o'rtasidagi kuzatuvchi hali ham ochiq matnli hopni ko'radi. HTTPS-ni birinchi so'rov qilish - bu uch qismdan iborat mijoz tomonidagi o'zgarish: haqiqiy HTTPS manzili, brauzerni yangilash rejimi va saytning o'z siyosati. Quyidagi qadamlar men foydalanadigan tartib bo‘lib, ularning har birida bajarilgan-kelmaganligini bildiruvchi chek bor.

1-qadam: birinchi so'rov aslida nima ekanligini tasdiqlang

Biror narsani o'zgartirishdan oldin brauzer nima yuborayotganiga qarang. Sovuq keshdan qayta yuklangan sahifa bilan tarmoq panelini oching va birinchi qatorni o'qing: agar sxema http bo'lsa va holat 301 yoki 308 bo'lsa, bu qatordan keyin hamma narsa ikkinchi so'rovdir. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com brauzerdan tashqarida bir xil ketma-ketlikni takrorlaydi va siz ochgan URL manzilni chop etadi.

Ikkita natija bo'lishi mumkin va ular turli tuzatishlarni talab qiladi. Agar sayt bir xil xostda HTTPS-ga xizmat qilsa, tuzatish HTTP formasini nashr etishni to'xtatishdir: xatcho'pni, wiki havolasini, ish stoli yorlig'ini va odamlar bosadigan elektron pochta shablonini yangilang. Agar sayt umuman HTTPS-ga xizmat qilmasa, hech qanday brauzer sozlamalari uni yaratmaydi va halol javob - bu maqsad muammodir. Istisno bilan ikkinchi holatni qog'ozga tushirmang, chunki hisob sahifasidagi sertifikat istisnosi transport muammosini hisob ma'lumotlari muammosiga aylantiradi. Sozlamaga tegmasdan oldin qaysi holatda ekanligingizni yozing.

2-qadam: brauzerning faqat HTTPS rejimini yoqing

Yangilash rejimi ikkinchi qism bo'lib, rejimlarni almashtirib bo'lmaydi. Uni yoqishdan oldin nima qilishini tekshiring: ovozsiz yangilang, ogohlantirish bilan yangilang yoki yuklashni rad eting.

Firefox-da boshqaruv elementlari about:config orqasida va maxfiylik sozlamalari sahifasida, kalit sifatida dom.security.https_only_mode va blokirovka menyusidan boshqariladigan har bir sayt uchun istisnolar mavjud. Chrome va Edge’da bir xil g‘oya Sozlamalar, Maxfiylik va xavfsizlik, Xavfsizlik bo‘limida “Har doim xavfsiz ulanishlardan foydalaning” deb nomlangan. Yorliq qanday bo'lishidan qat'iy nazar, faqat 80-portda javob beradigan xostga nisbatan xatti-harakatni tekshiring, chunki yangilanadigan va keyin jimgina qaytadigan rejim siz yoqqan deb o'ylagan himoya emas. Faqat HTTPS-Firefox hujjatlari ushbu brauzer uchun yangilanish, ogohlantirish va istisno holatlarini ifodalaydi.

3-qadam: faqat manzil satrini emas, resurslarni tuzating

Yangilanish amalga oshmasa, manzil satri o‘rniga aniq xatoni o‘qing. HTTPS tinglovchisi bo'lmagan xost, sertifikatga mos kelmaydigan xost nomi va muddati o'tgan zanjir turli xabarlarni chiqaradi va turli egalarga tegishli. Faqat birinchisi - server tomonidagi bo'shliq; ikkinchisi, odatda, hech qachon yangilanmagan xatcho'pdir; uchinchisi, VPN ulanishining ahamiyatsiz boʻlgan yangilash muammosi.

Hisob qaydnomasi saytiga sertifikat istisnosini qo‘shmang, chunki VPN yoqilgan. Istisno VPN oldini olish uchun moʻljallangan tutib qolishni aniq aniqlagan tekshiruvni oʻchirib qoʻyadi.

Uchinchi qism sahifa ichida joylashgan bo'lib, u odamlar sog'inadigan narsadir. HTTPS orqali yuklanadigan sahifa hali ham http URL manzilidan rasmlar, shriftlar yoki skriptlarni olishi mumkin va brauzer ularni bloklaydi yoki butun sahifa uchun xavfsizlik ko'rsatkichini pasaytiradi. Tarmoq panelidagi muvaffaqiyatsiz so'rovlarni tekshiring va manzillar paneli har bir so'rovni tavsiflaydi deb o'ylamasdan, ularning egasiga manba havolalarini tuzating. Siz ishlayotgan saytda, bu brauzerda qayta yozish o'rniga CMS yoki shablonda saqlangan URL manzillarini tuzatishni anglatadi. Agar manbani oʻzgartira olmasangiz, aralash tarkibni maʼlum boʻshliq sifatida yozib oling, chunki ochiq matn resurslarini tortib oladigan sahifa ustidagi qulf notoʻgʻri signaldir.

4-qadam: HSTS nimani qo'shadi va nima qilmaydi

HSTS brauzerni afzal ko'rishdan ko'ra sayt siyosati bo'lib, bu yerda yangi profildagi http:// terilgandan omon qoladigan yagona mexanizmdir. Brauzer xost uchun Strict-Transport-Security sarlavhasini ko'rgandan so'ng, u https-ga keyingi so'rovlarni yuborishdan oldin qayta yozadi, bu aynan siz xohlagan xususiyatdir. Bu brauzer hech qachon tashrif buyurmagan xost uchun va bir xil ilovaga xizmat qiluvchi boshqa xost nomi uchun hech narsa qilmaydi.

Asl manba curl -sSI https://example.com | grep -i strict-transport-security bilan nima yuborishini tekshiring. Yo'qolgan sarlavha - server o'zgarishi va mijoz o'rnatishi mumkin bo'lgan narsa emas. Agar u mavjud bo'lsa, max-age va includeSubDomains o'rnatilganligini o'qing, chunki tashriflar orasida qisqa maksimal yosh muddati tugaydi va etishmayotgan includeSubDomains har bir subdomenni himoyasiz qoldiradi. RFC 6797 foydalanuvchi agenti siyosatni qanday qo'llashini va u nimani e'tiborsiz qoldirishi mumkinligini belgilaydi. Oldindan yuklash alohida majburiyatdir, shuning uchun kimgadir roʻyxatda domen borligini vaʼda qilishdan oldin holatni hstspreload.org API orqali tekshiring.

Tasdiqlash va orqaga qaytarish

Orqaga qaytarish mijoz sozlamalari uchun arzon va HSTS uchun qimmat. Faqat HTTPS rejimini o'chirish oldingi xatti-harakatni darhol tiklaydi; maksimal yosh uzoq emas va uni olgan mehmonlar muddati tugaguncha yangilanishda davom etadilar.

Shunday ekan, qo'ng'iroq qilishdan oldin tartibni tasdiqlang. Sovuq keshdan qayta yuklang va tarmoq panelidagi birinchi so'rovni oldingi yo'naltirishsiz https ekanligini tasdiqlang. Keyin subdomenni tekshiring, chunki includeSubDomains bu siyosatlar odatda taxmin qilinganidan torroq bo'lib chiqadi. Keyin uchinchi tomon aktivlarini tortib oladigan sahifani tekshiring, chunki aralash kontent boshqa har qanday tuzatishdan omon qoladigan nosozlikdir.

Agar birinchi so'rov hali ham http bo'lsa, mijoz endi o'zgaruvchi emas: odamlar bosadigan havola. Xost nomining http shakli uchun siz nazorat qiladigan joylarni qidiring, ularni yangilang va bir xil sovuq keshni qayta yuklash bilan qayta sinovdan o'tkazing. VPN savolini alohida saqlang, chunki tunnel so‘rovni kim ko‘ra olishini o‘zgartiradi va so‘rov shifrlangan yoki shifrlanganligini hech qachon o‘zgartirmaydi. Chiptada birinchi soʻrov muhim boʻladi, yoʻnaltirish esa allaqachon yuborilgan soʻrov uchun kvitansiya boʻladi.