Https এ https- এ পুনঃনির্দেশ না দিয়ে পুরো সাইটকে জোর করুন

Question

আমি কীভাবে আমার পুরো সাইটটি https তৈরি করতে পারি তা নিয়ে গবেষণা করার সময় প্রচুর আলোচনা হয়েছিল। সর্বাধিক উত্তরগুলি ছিল https (.htaccess file) - এ পুনর্নির্দেশ করা, যা ভাল নয়, কারণ একই কাজ দু'বার করা (দুটি অনুরোধ) করা ভাল নয়। এছাড়াও, "মাঝখানে মানুষ" প্রথমে http এ গ্রহণ করে এবং আমি আমার সাইটটি সরাসরি https এ যেতে চাই। আপনার পুরো সাইটটি https করার অন্য কোনও উপায় আছে এবং কীভাবে এটি করবেন? উদাহরণস্বরূপ, যখন ইউজার উদাহরণ.কম-এ টাইপ করেন, সেই উদাহরণ.কমটি HTTP বা অন্য কোনও কিছু থেকে প্রথমে পুনর্নির্দেশ না করে স্বয়ংক্রিয়ভাবে https এ যায়?

Comments

যদি আপনি না চান যে লোকেদের https এ পুনঃনির্দেশিত করা হয়, আপনি তার পরিবর্তে কী হতে চান?

— মাইকেল হ্যাম্পটন

@ মিশেলহ্যাম্পটন সম্ভবত আমি নবাগত প্রশ্ন জিজ্ঞাসা করছি, তবে আমি ব্যবহারিকভাবে এইচটিএসপি "মুছে ফেলতে" চাই এবং কেবলমাত্র বিদ্যমান জিনিসটি হ'ল https। বা যদি এটি সম্ভব না হয় তবে সুরক্ষার জন্য এটি যথেষ্ট ভাল হলে আমি কেবল পুনঃনির্দেশটি ব্যবহার করতে পারি। আমি শুনেছি যে পুনঃনির্দেশ http-> https তেমন ভাল নয় কারণ এটি এখনও HTTP এবং ট্র্যাফিক পুনঃনির্দেশের সময় বাধা দেওয়া যেতে পারে।

— মার্কো টাম্বুরিক

এইচটিটিপি 301 স্থায়ী পুনঃনির্দেশ আপনার বন্ধু, কেবল মেয়াদ শেষ হতে ভুলবেন না।

— মার্সেল

আপনি কেবল এইচটিপি অপসারণ করতে পারেন। তবে তারপরে, ব্যবহারকারী যদি কোনও https: // এ প্রবেশ না করে তবে কেবল সংযোগ প্রত্যাখাত বার্তাটি পান, কিছু সাইটের ক্ষেত্রে এটি আরও ভাল, কারণ সুরক্ষা বেশি। যদি কোনও HTTP সংস্করণ উপলভ্য থাকে তবে এমনটি ঘটতে পারে যে কুকিজটি প্রথম অনুরোধটি এনক্রিপ্ট না করে প্রেরণ করা হয়েছে। কোনও সংস্থার মেল সিস্টেমের মতো জিনিসের জন্য কেবল https + ব্যবহারকারীর প্রশিক্ষণ ঠিক আছে, একটি সাধারণ সাইটের জন্য আপনি সম্ভবত প্রচুর দর্শক হারাবেন।

— জোসেফ

আফাইক এটি এইচটিটিপি 2 এর মাধ্যমে সম্ভব হয়েছিল, তবে এটি এসএসএল স্ট্রাইপিং আক্রমণটি এড়াতে পারবে না (নীচের উত্তরে বর্ণিত)।

— পিটারহ - মনিকা পুনরায় ইনস্টল করুন

Answer 1

না। আপনি যাদুতে দর্শকের ব্রাউজারটিকে সঠিক প্রোটোকলটি চয়ন করতে পারবেন না। একটি পুনর্নির্দেশ হ'ল এটি করার উপায়।

Comments

এই উত্তরের আরও প্রসারিত করতে, মার্ক হেন্ডারসন এখানে উল্লেখ করেছেন হিসাবে ইউআরএল পুনর্লিখন এবং একটি 301 স্থিতি কোড ব্যবহার করে বিবেচনা করুন: সার্ভারফ্রন্ট

— রায়ান রাইস

serverfault.com/questions/74362/…

— মার্সেল

Answer 2

http://en.wikedia.org/wiki/HTTP_Stric_Transport_Security আপনার সার্ভারকে নির্দেশ করে যে ডোমেনটি কেবল এইচটিটিপিএসের মাধ্যমে অ্যাক্সেস করা উচিত। এটি কেবল পরবর্তী অনুরোধগুলিতেই প্রযোজ্য, সুতরাং প্রাথমিক এইচটিটিপি লোড হবে তবে ভবিষ্যতে অনুরোধগুলি এইচটিটিপিএস লোড করবে এমনকি কেউ সুস্পষ্টভাবে এইচটিটিপি টাইপ করলেও।

আইই এখনও এটি সমর্থন করে না, তবে অন্যান্য সমস্ত মেজররা তা করে।

Comments

এটি এখনও প্রথম অনুরোধের বিরুদ্ধে সুরক্ষা দেয় না।

— জেনি ডি

@ জেনিডি আমি ইতিমধ্যে আমার উত্তরে ঠিক এটি বলেছি।

— সেজেজোজ

@ জেনিডি "রক্ষা" বলতে আপনার অর্থ কী? কোনও এমআইএম কোনও http -> https পুনর্নির্দেশের বিরুদ্ধে কিছু করতে পারে না, যদি না তারা স্থানীয় ডিএনএস / রাউটিং এবং আপনার পুরো ডোমেনটিকে জাল করে। সেক্ষেত্রে আপনার সার্ভারগুলিতে কখনও অ্যাক্সেস করা হয় না সেজন্য আপনি যা করেন তা আসলেই কিছু যায় আসে না।

— রেড সতর্কতা

@ জেনিডি ওয়েল, এইচএসটিএস আপনার পোস্টের চেয়ে সত্যই একটি ভাল সমাধান যা বলে যে "এটি পুনর্নির্দেশই হ'ল এটি করা উপায়"। পুনর্নির্দেশটি যে কোনও সময় এমআইটিএম করা যেতে পারে। এইচএসটিএস-এর সাথে একটি পুনর্নির্দেশ কেবল ব্যবহারকারী + ব্রাউজারে বছরে একবারই এমআইটিএমড করা যায় (বা মেয়াদ শেষ হওয়ার সময় শিরোনামে যাই হোক না কেন) - অন্য সব সময় এটি অনুরোধ করা হয়নি।

— সিজেজোজ

@ মারকো টাম্বুরিক কোনও কারণেই আপনি দুটিকে একত্রিত করতে পারবেন না।

— ceejayoz

Answer 3

অন্যরা যেমন বলেছে, আপনি ব্যবহারকারীদের সঠিক প্রোটোকল বেছে নিতে বাধ্য করতে পারবেন না। ব্যবহারকারী যখন এইচটিটিপি ব্যবহার করার চেষ্টা করে তখন আপনার কী করা উচিত? একটি পুনর্নির্দেশও অপ্রতুল, কারণ আপনার এবং ক্লায়েন্টের মধ্যে বসে থাকা কোনও আক্রমণকারী পুনঃনির্দেশকে বাধা দিতে পারে, তাই ক্লায়েন্ট কখনই এটি দেখতে পায় না। ক্লায়েন্টটি সরল এইচটিটিপি প্রেরণ করা চালিয়ে যাবে, এবং আক্রমণকারী সার্ভার থেকে SSL স্তর সরিয়ে ফেলবে ( এসএসএল স্ট্রিপিং আক্রমণ )।

এটি প্রতিরোধের একমাত্র নিশ্চিত উপায় হ'ল HTTP মোটেই পরিবেশন করা নয় । ৮০ বন্দরটিতে উত্তর দিবেন না, সম্ভবত কোনও সাধারণ পাঠ্য পৃষ্ঠাটি ব্যবহার করা যা ব্যবহারকারীকে এইচটিটিপিএস দিয়ে আবার চেষ্টা করার নির্দেশ দিচ্ছে (তবে কোনও লিঙ্ক সরবরাহ করছে না , যা আক্রমণকারী হেরফের করতে পারে)। এটি ব্যবহারকারীকে https://তাদের ব্রাউজারে টাইপ করতে বাধ্য করবে , সুতরাং তারা এসএসএলের সাথে সংযোগ শুরু করবে এবং এমআইটিএম আক্রমণটি রোধ করবে।

Comments

এটি বেশিরভাগ ব্যবহারকারী টাইপ করছে না বলে এটি বাণিজ্য-বন্ধ https://। পরিবর্তে, তারা "হু, সাইটের ভাঙা" এবং ছেড়ে চলে যাবেন বলে। সেরা কেস www.example.comদৃশ্যে এইচটিটিপি এবং এইচটিটিপিএস উভয়কেই সাড়া দেওয়া হতে পারে তবে অ্যাপটি নিজেই admin.example.comকেবল এইচটিটিপিএস-এর মতোই চলছে ।

— ceejayoz

একমত। অনুশীলনে, প্রায় কেউই এটি করে না।

— অ্যান্ড্রু শুলম্যান

আমি সত্যিই দেখতে পাচ্ছি না যে এটি আর কোনও এমআইএম-প্রমাণ হবে। মাঝের লোকটি যদি আপনার হাইপার লিঙ্কটি অন্য কোথাও নির্দেশ করতে পারে তবে এর অর্থ তিনি ব্যবহারকারীর আগত প্যাকেটগুলির নিয়ন্ত্রণে রয়েছেন in তিনি ঠিক তার সাইটে সহজেই পুনঃনির্দেশ করতে পারেন, বা সাইটের যা দেখতে চাইবে তা বিবেচনা না করেই তিনি যা চান হাইপারলিংক যুক্ত করতে পারেন।

— রেড সতর্কতা

তবে তাত্ত্বিকভাবে নয়, যদি ক্লায়েন্ট এসএসএলের সাথে সংযোগ শুরু করে।

— অ্যান্ড্রু শুলম্যান

এটি সত্য - তবে ক্লায়েন্ট যদি এসএসএল দিয়ে শুরু করেন, ওপিতে কোনও সমস্যা নেই। তাঁর সমস্যাটি যখন তারা এসএসএল ব্যতীত শুরু করেন এবং কোনও এমআইএম সক্রিয়ভাবে এটির নাশকতা অবলম্বন করে থাকে তবে নির্ভরযোগ্যভাবে এগুলিকে এসএসএল পাওয়ার কোনও উপায় নেই।

— রেড সতর্কতা

Answer 4

সম্পূর্ণ সত্য নয়: ডিএনএস / হোস্টনেম বা কোনও নির্দিষ্ট আইপি সমাধানের অন্যান্য উপায় কীভাবে ব্যবহার করবেন: পোর্ট

একটি উপায় আছে, তবে বেশিরভাগ ব্রাউজারগুলি rfc2782 প্রয়োগ করে না।

Answer 5

এখানে সুনির্দিষ্টভাবে উল্লিখিত আক্রমণটি রোধ করার জন্য সিজেজেজের সর্বোত্তম জবাব আছে তবে আমি এখানেও উল্লেখ করতে চাই যে এখানে প্রচুর লোক নিখোঁজ রয়েছে যা মূলত এইচটিটিপিটির অন্য অংশটি ইতিমধ্যে খুঁজে পেয়েছে। আপনি স্থায়ী 301 পুনর্নির্দেশ করতে চান। এটি ক্লায়েন্টকে নতুন ঠিকানায় আরও অনুরোধ জানাতে বলে। সুতরাং হ্যাঁ, কেউ যদি ভুল ইউআরএল টাইপ করেন তবে তারা ভবিষ্যতে 2 টি অনুরোধ করবেন, তবে ভবিষ্যতে ভাল ক্লায়েন্টের সেই URL টিতে অনুরোধগুলি সনাক্ত করা উচিত এবং আরও কোনও অপচয় হওয়া অনুরোধ রোধ করার পরিবর্তে সঠিক অনুরোধ করা উচিত। সমস্যাটি হ'ল এটি কেবলমাত্র সেই সঠিক URL এর জন্য। এইচএসটিএস এই স্কিমটির উন্নতি করে বলেছে, 'পরবর্তী এন সেকেন্ডের জন্যও এই ডোমেন থেকে কোনও সুরক্ষিত সংযোগের অনুমতি দেবে না'।

ব্যবহারকারীদের নিরাপত্তাহীন স্থানে সংবেদনশীল সাইটগুলি পরিদর্শন করা উচিত নয়। তাদের বিশেষত নিরাপদ স্থানে তাদের জন্য সাইন আপ করা উচিত নয়। এগুলি হল বেসিক ব্যবহারকারী সুরক্ষা প্রিন্সিপালগুলি যা ঠিক যেমন শিখানো উচিত, 'অবিশ্বস্ত উত্স থেকে সংযুক্তি খুলবেন না'। যে সাইটগুলি কখনও পরিদর্শন করা হয়নি তার জন্য এমআইএম আক্রমণ প্রতিরোধের জন্য সেরা উত্তর।

একটি পার্শ্ব নোট হিসাবে, কিছু ব্রাউজারগুলি এটি নির্দিষ্ট করে নির্দিষ্ট সাইটগুলি সর্বদা এইচএসটিএস ব্যবহার করে বলেও উন্নতি করে। দুর্ভাগ্যক্রমে, আপনি কেবল নিজেকে সহজেই এই তালিকায় যুক্ত করতে পারবেন না।

আরও পড়ুন: http://coderrr.wordpress.com/2010/12/27/canonical-redirect-pitfalls-with-http-strict-transport-security-and-some-solutions/

http://dev.chromium.org/sts