Инструменты

Инструменты, которые работают в вашем браузере

Двадцати четырём браузерным инструментам для основной работы не нужен обмен с сервером. Самые новые — два инструмента для локальной работы с секретами и установщиками: набор PGP создаёт пары ключей, шифрует и расшифровывает сообщения, создаёт и проверяет подписи в вашем браузере, потому что закрытые ключи и парольные фразы нельзя вставлять в чаты или загружать, а анализатор APK читает декларации и сертификаты подписи Android-установщика до его установки, при этом файл разбирается на вашем устройстве и никогда не загружается. Перед ними пришла сортировка пакетов: анализатор PCAP читает захваты .pcap и .pcapng — разговоры, DNS, метаданные TLS, предупреждения о открытом тексте — по тому же правилу, что и всё остальное в этом списке, потому что файл захвата — это улика, и его никогда не загружают ради чтения. Перед ним пришла пара инструментов почтовой форензики: анализатор отчётов DMARC открывает сводные отчёты, которые присылают получатели (XML, сжатые gzip или zip), и сводит их в одну таблицу по источникам, а анализатор заголовков почты препарирует подозрительное сообщение — цепочку Received, результаты аутентификации, несовпадения доменов, обезвреженные ссылки, — потому что обе задачи начинаются с файла, полного деталей вашей инфраструктуры, а такие файлы не следует загружать ради чтения. Калькулятор подсетей — чистая арифметика; парсер логов и генератор тестовых данных работают полностью на вашей машине, поэтому производственный лог или staging-базу можно безопасно через них прогнать. Пять новейших существуют для задач, которые люди пробуют в ИИ-чатах и жалеют: хэширование (чат выдумывает дайджесты), идентификация хэшей, декодирование и проверка JWT, преобразование Base64 и генерация паролей — работа, чьи входные данные — учётные данные, а ответы должны вычисляться, поэтому все пять работают локально и ничего не передают. Планирующий набор работает с входными данными, которые никогда не следует вставлять на чужой сервер: планировщик дежурств работает со списком вашей команды, генератор сертификатов создаёт закрытые ключи — локально, никогда не загружаются, — а калькуляторы хранения копий и бюджета ошибок работают с вашими внутренними политиками и числами инцидентов. Три новейших расширяют то же правило: валидатор .env парсит самый насыщенный секретами файл вашего стека, не передавая ни байта, планировщик встреч делает арифметику часовых поясов по данным Intl вашего собственного браузера, а оценщик мощности превращает ваши внутренние цифры трафика в план парка серверов на месте. Поиск DNS, парсер сертификатов и поиск доменов действительно обращаются к публичным сервисам — Google или Cloudflare для DNS, crt.sh для истории сертификатов, реестры RDAP для данных о доменах, — и каждая из этих страниц называет сервис, который опрашивает, чтобы вы всегда знали, куда на самом деле ушёл введённый вами домен. Где у задачи есть и браузерная, и серверная форма, страницы ссылаются друг на друга: парсер сертификатов указывает на живой SSL-проверяющий, поиск доменов — на проверяющий срок, а поиск DNS — на проверку здоровья за полной картиной.

Как работают проверяющие

Каждый проверяющий принимает одно голое доменное имя — и ничего больше. Не нужно указывать URL, пути или порты, и сервис подключается только к стандартным веб-портам названного вами домена. Затем он независимо проходит свои проверки: HTTP-зонд на доступность и время отклика, TLS-рукопожатие для сертификата, запрос к реестру (RDAP) за записью о регистрации домена и DNS-запросы за записями, которые маршрутизируют трафик и почту. Поскольку секции независимы, одна сбойная часть никогда не скрывает остальное — сайт со сломанным веб-сервером по-прежнему покажет свой сертификат и даты истечения, а это обычно ровно то, что нужно для починки. Две более новые проверки намеренно нарушают правило голого домена: цепочка статусов HTTP принимает полный URL, потому что цепочка — свойство одного адреса, а не домена; а проверка распространения DNS задаёт один и тот же вопрос четырём публичным резолверам, потому что распространение — свойство кэшей, а не одного домена. Стол сортировки CVE нарушает его третьим способом: он принимает список идентификаторов уязвимостей, потому что его вопрос — об очереди исправлений, а не об одном хосте, — и его ответы берутся из наборов данных, которые сервер обновляет ежедневно, а не из зондирования чего-либо.

Результаты ненадолго кэшируются, поэтому отчёт, которым вы делитесь с коллегой, показывает тот же снимок, что видели вы, с пометкой о времени его получения. Когда до истечения сертификата или домена остаётся меньше девяноста дней, отчёт говорит об этом громко и предлагает бесплатный непрерывный мониторинг через myeventwatch, потому что обратный отсчёт, который нужно не забывать перепроверять, — лишь половина решения.