לפני ששולחים סיסמה דרך פרוקסי חינמי

אל תשתמשו בסיסמה אמיתית כדי לגלות אם פרוקסי לא מוכר עובד. בדיקת חיבור עם דף לא מזיק יכולה לאשר קישוריות בלי לחשוף חשבון. ההחלטה אם לסמוך על המסלול עם תעבורה פרטית דורשת בחינה נפרדת של החיבור.

ב־HTTP לא מוצפן, הפרוקסי מטפל בבקשות ובתגובות קריאות. הדבר עלול לחשוף סיסמאות, עוגיות, מפתחות API, פרמטרי שאילתה פרטיים וגופי תגובה. אסימון הפעלה גנוב יכול להיות בעל ערך כמו הסיסמה שיצרה אותו.

ב־HTTPS מאומת דרך מנהרת CONNECT רגילה, TLS פועל בין הלקוח שלכם לאתר. פרוקסי שרק מעביר את החיבור בדרך כלל אינו יכול לקרוא את נתוני היישום האלה. הדבר תלוי בשם המארח המיועד, בבדיקת תעודות ובאמון במאגר CA מתאים. התקנת תעודת השורש של פרוקסי לא מוכר עלולה לאפשר למפעיל שלו ליירט TLS; גם התעלמות משגיאות תעודה מסירה את ההגנה שעליה הסתמכתם.

גם כשהתוכן מוגן, המפעיל מקבל את החיבור ויכול לצפות במידע על היעד הזמין במסלול הפרוקסי, בתזמון ובנפח. הוא יכול לשבש תעבורה ואולי לקשר בין נתונים. כתובת IP אחרת ביציאה אינה מסבירה אילו רישומים נשמרים או מה שולחים יישומים אחרים שלכם.

הכניסה לפרוקסי עוברת בחלק אחר של המסלול

אימות הפרוקסי עשוי להתרחש לפני TLS מול היעד. ה־HTTPS של האתר אינו יכול להגן על חילופי מידע קודמים בטקסט גלוי עם הפרוקסי. גם משא ומתן של שם משתמש וסיסמה ב־SOCKS5 אינו מצפין את פרטי הגישה מעצמו. העריכו את התעבורה בין הלקוח לפרוקסי ואת שיטת האימות לפני מסירת חשבון פרוקסי.

בדקו חיבור ללא הפעלה פרטית

השתמשו בפקודה ייעודית במקום לנתב מחדש דפדפן עם חשבונות מחוברים. הסירו מהלקוח מפתחות API המוגדרים כברירת מחדל, אסימוני bearer, עוגיות ונתונים פרטיים. לנקודת האזנה HTTP:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 https://example.com/

החליפו את נקודת הקצה המקומית בשירות שלכם. השאירו את אימות התעודות פעיל ואת זמני ההמתנה מוגבלים; בדקו הפניות בלתי צפויות או בקשות להתקין חומרי אמון. השוואה ישירה מורשית יכולה לעזור לבודד כשל ביעד. הסירו מידע רגיש מנקודות הקצה ומהיומנים לפני שיתוף.

לחשבונות פרטיים או לשילובים בסביבת ייצור, השתמשו במפעיל שתוכלו להעריך את בעליו, תמיכתו והסדרי האמון שלו, או בשירות שאתם מנהלים. תשלום לבדו אינו ערובה. רשימת פרוקסי חינמיים מספקת מועמדים; טעינת דף מוצלחת מעידה על זמינות לבקשה הזאת, לא על אמון במפעיל.