HTTPS Yapılandırma Denetimi

Bir sitenin yanıt başlıklarını yapıştırın — ve varsa sertifikasını, sayfa kaynağından bir parçayı ve ana bilgisayar adını — ve bu sayfa HTTPS tarafının nasıl yapılandırıldığını raporlar: HSTS'nin ayarlanıp ayarlanmadığı ve ne kadar süreyle, bir içerik güvenlik politikasının güvensiz istekleri yükseltip yükseltmediği, çerezlerin Secure ve SameSite ile işaretlenip işaretlenmediği, bir sunucu afişinin bir sürümü ele verip vermediği ve proxy başlıklarının uygulamanın gördüğü istek hakkında ne söylediği. Sertifika aynı raporda denetlenir, düz http:// alt kaynakları sayfa kaynağından sayılır ve el sıkışmayı görebilen komutlar sizin çalıştırmanız için listelenir. Her şey tarayıcınızda çalışır ve sayfa kendi başına hiçbir istek yapmaz.
1. Yanıt başlıkları
Durum satırı dahil tüm yanıt başlığı bloğu. En kolay kaynak: bir terminalde curl -sI https://example.com/, ya da tarayıcı geliştirici araçlarındaki Ağ sekmesinin Üstbilgiler paneli, dosyanın başından kopyalanmış. Ek başlıklar okunur ve yok sayılır; yalnızca HTTPS ile ilgili olanlar raporlanır.
2. Sertifika ya da zincir (isteğe bağlı)
Bu doldurulduğunda aynı rapor tam sertifika denetimini de taşır; böylece yapılandırma ve sertifika birlikte okunur. PEM, çıplak bir base64 ya da onaltılık gövde ve bir PKCS#7 .p7b hepsi çalışır; sertifika denetleyici sertifikaya tek başına daha derinlemesine girer.
3. Sayfa kaynağı parçası (isteğe bağlı)
Sayfa kaynağını (ya da yalnızca URL'leri içeren etiketleri) yapıştırın; her düz http:// adresi listelenir, çünkü HTTP üzerinden yüklenen bir alt kaynak kilit simgesini bozar ve sayfanın kendisi HTTPS ile gelmiş olsa bile iletim sırasında yeniden yazılabilir. Sitenin kendi ana bilgisayarına giden adresler ayrıca belirtilir, çünkü bunlar göreli bir URL'nin düzelteceği adreslerdir.
4. Ana bilgisayar adı (isteğe bağlı)
Burada bir ana bilgisayar adı verildiğinde denetim, konu alternatif adlarını tarayıcının yaptığı gibi, joker kuralları dahil denetler ve düz http:// adreslerini buna karşı eşleştirir.
henüz denetim yok
Örnek bilerek kusurludur, böylece raporun her parçasında bir şey olsun: HSTS ve bir içerik güvenlik politikası içeren bir başlık bloğu (ama preload yok ve SameSite olmayan bir çerez), iki sertifikalı bir zincir ve aynı şekilde düz http:// üzerinden bir betik yükleyen ve bir görseli sitenin kendi ana bilgisayarına yönlendiren bir sayfa parçacığı. Örnekte bir F bekleyin ve her birinin ne anlama geldiğini görmek için altındaki bulguları okuyun.
Neler denetlenir. Başlık bloğundan: HSTS, max-age'i, includeSubDomains ve preload; güvensiz istekleri yükselten bir içerik güvenlik politikası; her Set-Cookie üzerindeki Secure, HttpOnly ve SameSite bayrakları; bir ürünü ve sürümü ifşa eden bir sunucu afişi; ve uygulamanın isteği HTTPS olarak görüp görmediğini söyleyen iletilmiş başlıklar. Sertifika bloğundan: tam sertifika denetimi, her bir zincir bağlantısının gerçekten bir sonrakini imzalayıp imzalamadığına kadar. Sayfa kaynağından: düz http:// alt kaynakları. Üçü ayrı raporlanır ve sonra birlikte özetlenir, çünkü kırık bir kilit simgesi genellikle diğer ikisinde değil, bu üçünden birindedir. OWASP güvenlik yanıt başlıklarının tam listesi için — X-Content-Type-Options, çerçeve koruması, Referrer-Policy, Permissions-Policy, COOP, COEP, CORP ve notlandırılmış puan — aynı başlık bloğunu Güvenlik Başlıkları Denetimi sayfasına yapıştırın; iki sayfa işi TLS katmanı ve başlık katmanı arasında böler.

Göremediği şeyler. Bu sayfa hiçbir zaman bir TLS bağlantısı açmaz. Tarayıcılar el sıkışmayı bir sayfaya göstermez; bu yüzden protokol sürümü, şifre paketi, anahtar değişim grubu, OCSP zımbalaması, oturum yeniden kullanımı, 0-RTT, canlı bir sunucunun gerçekte gönderdiği sertifika zinciri ve bir HTTP'den HTTPS'ye yönlendirmenin kökte mi yoksa bir proxy'de mi gerçekleştiği, hiçbir web sayfasının raporlayabileceği şeyin dışındadır. Ayrıca başlıkları sizin için toplamak üzere üçüncü taraf bir siteye ulaşamaz ve bir sertifikanın güvenilip güvenilmediğini söyleyemez, çünkü bu bir sayfanın okuyamadığı bir kök deposuna bağlıdır. Bu sayfanın aşağısındaki komutlar bu şeyleri görür ve sizin kendi makinenizde çalıştırmanız amaçlanmıştır.

Başlık bloğunu nereden alırsınız. Bir terminalde curl -sI https://example.com/ bu sayfanın istediği şeyi tam olarak yazdırır. Bir tarayıcıda geliştirici araçlarını açın, Ağ sekmesine gidin, sayfayı yenileyin, belge isteğini seçin ve Yanıt Başlıkları alanının tamamını kopyalayın ya da Kopyala → Yanıt başlıklarını kopyala seçeneğini kullanın. Yönlendirme denetimi için curl -sI http://example.com/ de çalıştırın ve her iki bloğu yapıştırın; sayfa onları birbiri ardına raporlar.
Denetim raporu
Henüz denetim yok. Tam rapor için yukarıya bir başlık bloğu yapıştırın ve Bu yapılandırmayı denetle'ye basın; sertifika, sayfa kaynağı parçası ve ana bilgisayar adı isteğe bağlıdır ve her biri kendi bölümünü ekler.
Ulaşılabilirlik sınaması — bu sayfanın ağı kullanan tek kısmı
Bir sayfa TLS bağlantısı açamaz, ama sıradan bir istek deneyebilir. Site çapraz kaynak okumalarına izin veriyorsa, yanıtın sonunda vardığı URL, http://'in https://'e yönlendirilip yönlendirilmediğini gösterir ve bu kanıtlayabileceği tek şeydir. İstek başarısız olursa bu sayfa ana bilgisayarın kapalı mı olduğunu, bağlantınızın mı kapalı olduğunu, yoksa sitenin basitçe çapraz kaynak okumalarına izin vermediğini söyleyemez — sonuncusu yaygın durumdur, çünkü çoğu site Access-Control-Allow-Origin göndermez. Bir http:// URL'si herhangi bir yönlendirmeden önce yanıtlanır, dolayısıyla bu, burada bir tarayıcının düz bir bağlantıda deneyeceği tek şeydir. Siz düğmeye basana kadar tarayıcıdan hiçbir şey çıkmaz.
El sıkışmayı gören komutlar
curl -sI https://example.com/ # the header block this page reads curl -sI http://example.com/ # is plain HTTP answered, or redirected? curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' http://example.com/ openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null openssl s_client -connect example.com:443 -servername example.com -tls1_3 </dev/null 2>/dev/null \ | openssl x509 -noout -subject -issuer -dates -ext subjectAltName nmap --script ssl-enum-ciphers -p 443 example.com testssl.sh example.com # or: docker run --rm -ti drwetter/testssl.sh example.com
Bunlar sizin tarafınızdan, kontrol ettiğiniz bir makinede ve test etmenize izin verilen bir ana bilgisayara karşı çalıştırılmak içindir. -showcerts çıktısı doğrudan sertifika denetleyiciye yapıştırılabilir ve başlık çıktısı bu sayfaya.
Sertifika kamuya açık bir belgedir. Herkese açık olarak güvenilen her sertifika Sertifika Şeffaflığı günlüklerinde yayımlanır; bu yüzden içindeki herhangi bir ana bilgisayar adı — bir kamu sertifika yetkilisinin imzaladığı dahili ya da yanlış yazılmış bir ad dahil — bu günlükleri arayarak bulunabilir. Bir sertifika ayrıca veren kuruluşun seçtiği iptal adreslerini de taşır ve bunlar ara sıra dahili bir ana bilgisayarı adlandırır. Bu yüzden bir CDN'nin sunduğu sertifika kökteki sunucu hakkında hiçbir şey söylemez: içindeki adlar CDN'ye aittir. Denetim beklenmedik bir ana bilgisayar adı ortaya çıkarırsa, onu kamuya açık sayın ve koruduğu her şeyi değiştirin.

Gizlilik: başlık bloğu, sertifika ve sayfa kaynağı yerel olarak okunur ve asla yüklenmez; ulaşılabilirlik sınamasındaki düğmeye basmadığınız sürece hiçbir istek yapılmaz. Kendi sertifikanızı oluşturmak için kendinden imzalı sertifika üreticiyi; bir özel anahtarın bir sertifikaya ait olduğunu denetlemek için sertifika ve anahtar eşleştiriciyi kullanın.