Kā darbojas formexposed pārbaude: pasīvi, pārredzami, ar cieņu

Kad bezmaksas pārbaudē vietnē formexposed.com ievadāt domēnu, skeneris apmeklē šo vietni un atgriežas ar atskaiti. Šajā rakstā aplūkots, kas notiek starplaikā: ko skeneris ielādē, ko tas aplūko, ko tas apzināti nedara un kāpēc dažas detaļas parādās tikai tad, kad esat pierādījis, ka domēns ir jūsu.

No domēna līdz atskaitei

Skeneris ielādē vietnes publiskās lapas tā, kā to darītu pārlūkprogramma, ieskaitot skriptus, kas tajās darbojas. Tas ir svarīgi, jo daudzas formas, CAPTCHA logrīkus, sīkdatņu paziņojumus un izsekošanas tagus JavaScript pievieno tikai pēc lapas ielādes; aplūkojot tikai neapstrādāto HTML, tie paliktu nepamanīti. Šajās lapās skeneris meklē formas un sašķiro katru pēc nolūka – saziņas forma, jaunumu abonēšana, pieteikšanās utt. Klasifikācija sniedz konstatējumiem kontekstu: jaunumu abonēšanas lodziņam ir citas vajadzības nekā saziņas formai, kas ziņojumus piegādā tieši kāda pastkastē.

Ko skeneris aplūko

• Aizsardzība pret surogātpastu un ļaunprātīgu izmantošanu: vai ir CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, pielāgota matemātikas vai attēlu captcha vai servera puses pretsurogātpasta pakalpojums) un vai tā ir efektīvi iestatīta – publiska testa vietnes atslēga vai logrīks bez skripta neko neaizsargā. Kā arī honeypot lauki, CSRF marķieri un laika slazdi.
• Apkārtne: zināmas ievainojamas CMS un spraudņu kombinācijas, vai forma sūta datus uz trešās puses pakalpojumu un vai vietnes priekšā ir WAF vai CDN.
• VDAR signāli: saite uz privātuma politiku pie formas, vai sīkdatņu paziņojuma noraidīšana patiešām aptur izsekošanu, reklāmas vai izsekošanas pikseļi, kas tiek aktivizēti formu lapās, sesiju ierakstīšanas rīki, kas var ierakstīt to, ko cilvēki raksta, un lapas pirmkodā redzama adresāta e-pasta adrese.
• Piekļūstamības signāli: axe-core pārbaudes formai (etiķetes, kļūdu ziņojumi, kontrasts un citi), vai CAPTCHA ir piekļūstama, honeypot lauki, kurus nolasa ekrāna lasītāji, un kā forma darbojas tālrunī – pieskāriena mērķi, pārklājumi, kas aizsedz iesniegšanas pogu, horizontālā ritināšana.

Pasīvi, pārredzami, ar cieņu

Anonīmā pārbaude ir pasīva. Skeneris lasa lapas; tas neaizpilda laukus, neiesniedz nevienu formu un nemēģina nekur pieteikties. Neviens nesaņem testa ziņojumu, un nekas nenonāk vietnes pastkastē vai datubāzē. Tas arī uzvedas kā pieklājīgs apmeklētājs: tas nolasa robots.txt un to ievēro, un tas identificējas kā FormExposedBot, nevis izliekas par parastu pārlūkprogrammu. Ikviens, kurš atrod šo nosaukumu savos servera žurnālos, var to sameklēt adresē formexposed.com/bot, kur paskaidrots, ko robots dara.

Aizsargāta, daļēji aizsargāta, neaizsargāta

• Aizsargāta: atrastajām formām ir aizsardzība, kas šķiet efektīva, un no ārpuses nav redzamas būtiskas nepilnības.
• Daļēji aizsargāta: aizsardzība ir, bet ar nepilnībām – piemēram, CAPTCHA darbojas ar testa atslēgu, vai viena forma ir aizsargāta, bet cita nav.
• Neaizsargāta: formām trūkst konstatējamas aizsardzības, vai tām ir vājās vietas, kas atvieglo ļaunprātīgu izmantošanu.

Līmenis apkopo to, ko var redzēt no ārpuses; tā nav garantija ne vienā, ne otrā virzienā. Anonīmo pārbaužu atskaites ir apzināti īslaicīgas, un meklētājprogrammas tās neindeksē. Un, tā kā ikviens var ievadīt jebkuru domēnu, tajās nav iekļautas ievainojamību detaļas: atskaite parāda, ka kaut kam vajadzīga uzmanība, bet ne precīzu vājo vietu, ko varētu izmantot uzbrucējs. Šīs detaļas tiek rādītas tikai domēna verificētiem īpašniekiem.

Kas mainās ar verificētu domēnu

Divi no tiem ir pelnījuši rūpīgāku aplūkošanu. Aktīvās pārbaudes ir izslēgtas, ja vien jūs tās neieslēdzat, un tās ir pieejamas tikai domēnam, kuru esat verificējis. Tad skeneris nosūta dažus skaidri marķētus testa iesniegumus, lai jūs un jūsu komanda tos varētu atpazīt. Kopā ar piegādes pārbaudi tas atbild uz jautājumu, uz kuru neviena pasīva skenēšana nevar atbildēt: vai caur formu nosūtīts ziņojums patiešām pienāk? Savukārt uzraudzība ir veidota tā, lai būtu klusa. Brīdinājumu – pa e-pastu, ar tīmekļa āķi (webhook), Slack, Discord, Telegram vai Google Chat – jūs saņemat tikai tad, ja kaut kas mainās, piemēram, kad pēc atjauninājuma pazūd CAPTCHA vai saziņas lapā parādās jauns izsekošanas pikselis.

Ja vēlaties redzēt to, ko redz skeneris, sāciet ar bezmaksas pārbaudi vietnē formexposed.com: ievadiet savu domēnu un izlasiet atskaiti. Ja vietne ir jūsu un vēlaties detaļas, regulāru uzraudzību un piegādes pārbaudi, verificējiet domēnu kontā.