HTTPS-asetusten tarkastus

Liitä sivuston vastausotsikot — ja jos niitä on, sen varmenne, sivun lähdekoodin pätkä ja isäntänimi — niin tämä sivu raportoi HTTPS-puolen asetukset: onko HSTS asetettu ja kuinka pitkäksi aikaa, päivittääkö sisällön turvakäytäntö epävarmat pyynnöt, onko evästeet merkitty Secure- ja SameSite-määritteillä, paljastaako palvelimen banneri version, ja mitä välityspalvelimen otsikot kertovat pyynnöstä, jonka sovellus todella näki. Varmenne tarkistetaan samassa raportissa, tavalliset http://-aliresurssit lasketaan lähdekoodista, ja komennot, jotka näkevät kättelyn, luetellaan, jotta voidaan ajaa ne itse. Kaikki toimii selaimessa, eikä sivu tee omaa pyyntöä.
1. Vastausotsikot
Koko vastausotsikkolohko tilarivi mukaan lukien. Helpoin lähde: curl -sI https://example.com/ päätteessä tai selaimen kehittäjätyökalujen Verkko-välilehden Otsikot-paneeli, kopioituna tiedoston alusta. Muut otsikot luetaan ja ohitetaan; raportoidaan vain HTTPS:n kannalta olennaiset.
2. Varmenne tai ketju (valinnainen)
Kun tähän täytetään myös varmenne, sama raportti sisältää koko varmenteen tarkistuksen, joten asetukset ja varmenne luetaan yhdessä. PEM, pelkkä base64- tai heksadesimaalirunko ja PKCS#7 .p7b toimivat kaikki; varmenteen tarkistin käsittelee varmenteen yksin syvällisemmin.
3. Sivun lähdekoodin pätkä (valinnainen)
Kun sivun lähdekoodi liitetään (tai pelkät URL-osoitteita sisältävät tagit), jokainen tavallinen http://-osoite luetellaan, koska HTTP:n yli ladattu aliresurssi rikkoo lukon ja sen voi kirjoittaa uudelleen siirron aikana, vaikka itse sivu tulisi HTTPS:llä. Saman sivuston isännän osoitteet erotetaan omaan ryhmäänsä, koska juuri ne suhteellinen URL-osoite korjaisi.
4. Isäntänimi (valinnainen)
Kun isäntänimi annetaan tässä, tarkistus vertaa aihevaihtoehtoisia nimiä selaimen tavoin, mukaan lukien jokerimerkkisäännöt, ja vertaa samalla tavallisia http://-osoitteita niihin.
ei vielä tarkistettu
Esimerkki on tarkoituksella epätäydellinen, jotta raportin jokainen osa sisältää jotain: otsikkolohko, jossa on HSTS ja sisällön turvakäytäntö (mutta ei preload-merkintää ja yksi eväste ilman SameSite-määritettä), kaksi varmenteen ketju sekä sivunpätkä, joka lataa skriptin tavallisella http://-osoitteella ja osoittaa kuvan samalla tavalla sivuston omaan isäntään. Esimerkissä odotetaan F-arvosanaa, ja sen alla olevat havainnot selittävät, mitä kukin tarkoittaa.
Mitä tarkistetaan. Otsikkolohkosta: HSTS, sen max-age, includeSubDomains ja preload; sisällön turvakäytäntö, joka päivittää epävarmat pyynnöt; jokaisen Set-Cookie-otsikon Secure-, HttpOnly- ja SameSite-liput; palvelimen bannerit, jotka nimeävät tuotteen ja version; sekä välityksen otsikot, jotka kertovat, näkikö sovellus pyynnön HTTPS:nä. Varmenteen lohkosta: täydellinen varmenteen tarkistus aina siihen asti, että jokainen ketjun linkki todella allekirjoitti seuraavan. Sivun lähdekoodista: tavalliset http://-aliresurssit. Kolme osaa raportoidaan erikseen ja yhteenvedossa yhdessä, koska rikkinäinen lukko johtuu yleensä yhdestä niistä eikä muista. Täydellinen OWASP-lista turvallisuusvastausotsikoista — X-Content-Type-Options, kehyssuojaus, Referrer-Policy, Permissions-Policy, COOP, COEP, CORP ja porrastettu pisteytys — saadaan liittämällä sama otsikkolohko Security Headers Check -sivulle; sivut jakavat työn TLS-kerroksen ja otsikkokerroksen mukaan.

Mitä se ei näe. Tämä sivu ei koskaan avaa TLS-yhteyttä. Selaimet eivät paljasta kättelyä sivulle, joten protokollaversio, salausjoukko, avaimenvaihtoryhmä, OCSP-nidonta, istunnon jatkaminen, 0-RTT, varsinaisen palvelimen lähettämä varmenneketju ja se, tehdäänkö HTTP-HTTPS-uudelleenohjaus alkuperäpalvelimella vai välityspalvelimella, ovat kaikki verkkosivun ulkopuolella. Se ei myöskään voi hakea kolmannen osapuolen sivustolta otsikoita puolestasi, eikä se voi kertoa, onko varmenne luotettu, koska se riippuu juuristovarastosta, jota sivu ei voi lukea. Alla olevat komennot näkevät nuo asiat, ja ne on tarkoitettu ajettaviksi omalla koneella.

Mistä otsikkolohko saadaan. Päätteessä curl -sI https://example.com/ tulostaa juuri sen, mitä tämä sivu tarvitsee. Selaimessa avataan kehittäjätyökalut, siirrytään Verkko-välilehdelle, ladataan sivu uudelleen, valitaan asiakirjapyyntö ja kopioidaan koko Vastausotsikot-alue tai käytetään Kopioi → Kopioi vastausotsikot. Uudelleenohjauksen tarkistamiseksi ajetaan myös curl -sI http://example.com/ ja liitetään molemmat lohkot; sivu raportoi ne peräkkäin.
Tarkistusraportti
Ei vielä tarkistettu. Liitä otsikkolohko yllä ja paina Tarkista tämä asetus koko raporttia varten; varmenne, sivun lähdekoodin pätkä ja isäntänimi ovat valinnaisia, ja kukin lisää oman osionsa.
Tavoitettavuustesti — ainoa tämän sivun osa, joka käyttää verkkoa
Selain ei voi avata TLS-yhteyttä, mutta se voi tehdä tavallisen pyynnön. Jos sivusto sallii alkuperien välisen lukemisen, lopullinen URL-osoite kertoo, ohjattiinko http:// https://-osoitteeseen, ja vain sen tämä voi todistaa. Jos pyyntö epäonnistuu, tämä sivu ei voi kertoa, onko isäntä alhaalla, omasta yhteydestä on katkennut vai eikö sivusto vain salli alkuperien välistä lukemista — viimeinen on yleisin tapaus, koska useimmat sivustot eivät lähetä Access-Control-Allow-Origin-otsikkoa. http://-osoite vastataan ennen uudelleenohjausta, joten tämä on ainoa asia täällä, jonka selain yrittää tavallisella yhteydellä. Mitään ei poistu selaimesta ennen kuin painiketta painetaan.
Komennot, jotka näkevät kättelyn
curl -sI https://example.com/ # the header block this page reads curl -sI http://example.com/ # is plain HTTP answered, or redirected? curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' http://example.com/ openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null openssl s_client -connect example.com:443 -servername example.com -tls1_3 </dev/null 2>/dev/null \ | openssl x509 -noout -subject -issuer -dates -ext subjectAltName nmap --script ssl-enum-ciphers -p 443 example.com testssl.sh example.com # or: docker run --rm -ti drwetter/testssl.sh example.com
Nämä on tarkoitettu ajettaviksi omalla koneella, jota hallitset, ja isännälle, jota saadaan testata. -showcerts-tulosteen voi liittää suoraan varmenteen tarkistimeen, ja otsikkotulosteen tähän sivuun.
Varmenne on julkinen asiakirja. Jokainen julkisesti luotettu varmenne julkaistaan Certificate Transparency -lokeihin, joten minkä tahansa siinä olevan isäntänimen — myös sisäisen tai kirjoitusvirheellisen nimen, jonka julkinen varmennusviranomainen allekirjoitti — voi löytää hakemalla noista lokeista. Varmenne kantaa myös myöntäjän valitsemat peruutusosoitteet, ja ne nimeävät joskus sisäisen isännän. Siksi CDN:n palvelema varmenne ei kerro mitään alkuperäpalvelimesta: siinä olevat nimet kuuluvat CDN:lle. Jos tarkistus paljastaa odottamattoman isäntänimen, sitä kannattaa pitää julkisena ja vaihtaa se, mitä se suojaa.

Yksityisyys: otsikkolohko, varmenne ja sivun lähdekoodi luetaan paikallisesti eikä niitä lähetetä, eikä mitään pyyntöä tehdä, ellei tavoitettavuuskokeen painiketta paina. Oman varmenteen luomiseen käytä itseallekirjoitetun varmenteen generaattoria; sen tarkistamiseen, kuuluuko yksityinen avain varmenteeseen, käytä varmenteen ja avaimen yhteensovittajaa.