HTTPS経由で閲覧する場合、URLは第三者によって読まれることができますか？

32

HTTPSはコンピュータとサーバー間の接続を暗号化し、第三者からは見えないようにします。しかし、ISPまたは第三者がユーザーがアクセスしたページの正確なリンクを見ることはできますか？

たとえば、私は訪問します

https://www.website.com/data/abc.html

ISPは私が* / data / abc.htmlにアクセスしたことを知っていますか、それとも私がwww.website.comのIPを訪問したことを知っていますか？

彼らが知っているならば、誰かがインターネットのログを読むことができて、ユーザーが見た正確なコンテンツを見つけることができるのに、なぜウィキペディアとグーグルはHTTPSを持っているのですか？

privacy https

— Anonymous
ソース

7

ヒント：アカウントを登録しない、さまざまなIPからこの場所にアクセスする、およびCookieを保存しないと、スーパーユーザーへの参加が少し細分化されるため、自分の投稿で回答を受け入れることさえできませんまたはコメントを追加します。ここにアカウントを登録することを強くお勧めします。

— slhck

48

左から右へ：

の スキーマ https: 明らかに、ブラウザによって解釈されます。

の ドメイン名 www.website.com DNSを使用してIPアドレスに解決されます。あなたのISP 見るでしょう このドメインに対するDNS要求とその応答

のパス /data/abc.html HTTPリクエストで送信されます。 HTTPSを使用している場合は、 暗号化されます HTTPリクエストとレスポンスの残りと共に。

の クエリ文字列 ?this=thatURLに存在する場合は、HTTPリクエストでパスとともに送信されます。だからそれはまた暗号化されています。

の断片 #there存在する場合、どこにも送信されません - ブラウザによって解釈されます（返されたページのJavaScriptによって解釈されることもあります）。

— grawity
ソース

3

あなたは、SNIをサポートしている最近のブラウザがHTTPSリクエストに対してもプレーンテキストでホスト名を発表することを忘れていました。

— Monstieur

9

@Kurian：ホスト名はすでにDNSによって「アナウンス」されているので、これはほとんど問題になりません。

— grawity

2

@Kurian：IPアドレス できた 他の方法で習得することはできますが、実際にはそうではありません。そして、それをどう考えるかせずに単独で単一のプロトコルを見る実は使用されている重要な部分を見逃しがちです。

— Joachim Sauer

Torが名前を解決して実際のHTTPS接続を確立するために同じ出口ノードを使うのか、それとも別の出口ノードを使うのかわかりません。それが別々のノードを使用する場合、それでもSNIが重要になるだろう唯一の場所です。

— grawity

13

ISPはあなたがに関連付けられたIPアドレスにアクセスしたことを知るだけです www.website.com （そして、おそらくあなたが彼らのDNSを使っていて、彼らがトラフィックを特に探しているならURL - 彼らがそれを見ることができないことをDNSクエリが通過しないなら）

（ちょっとここにいてください - 私は答えを得ます）

HTTPプロトコルが機能する方法は、ポート（通常はポート80）に接続してからWebブラウザがどのページをサーバーに送信するかを指定することです。 http://www.sitename.com/url/of/site.html 次の行があります。

GET /url/of/site.html HTTP/1.1
host: www.sitename.com

HTTPSはポート443を除いて全く同じことをします - そして TCPセッション全体（つまり、上の引用符で囲まれた部分に表示されているものすべてと応答を含む）をSSL暗号化セッションにラップします - そのため、ISPはトラフィックを見ません（ただしサイズに基づいて推測できます）。サイトの概要、および解決するDNSルックアップ www.sitename.com 最初のインスタンスのIPアドレスに）。

もちろん、ページに「Webバグ」が埋め込まれていると、情報提供者の「パートナー」に自分が何を見ているのか、そしてあなたが誰なのかについてのヒントを与えることができます。中間者攻撃。理論上、プライベートのエンドツーエンド暗号化を使用できるのは、CA証明書がブラウザに付属しているからです。 ISPまたは政府がCA証明書を追加するか、またはCAを危険にさらす可能性があり、その両方が過去に起こったことがある場合 - あなたはあなたのセキュリティを失います。 The Great Firewall of Chinaは、HTTPSデータを読み取るために中間者攻撃を効果的に実行していると私は考えていますが、私がそこに来てからしばらくは時間がかかります。

あなたはあなたのコンピュータに出入りするトラフィックを盗聴するソフトウェアの一部を手に入れることによってあなた自身で十分に簡単にこれをテストすることができます。 Wiresharkと呼ばれる無料のソフトウェアでこれができると思います。

— davidgo
ソース

0

これがコメントまたは回答に値するかどうかはわかりませんが、1つの補遺を共有したいと思います。

ここの答えは何を示しています すべき 起こる。質問は できる それに対する答えはイエスです、それは比較的ありそうもありませんが。

攻撃者（第三者）があなたのhttpsトラフィックを絶対に傍受し、特定の状況下であなたの要求をすべて読むことができます。もっと学ぶために、私はあなたを読むように勧めました MITM と同様 SSLStrip 。理解のために必要なら私はこれにもっと入ることができます。

それは彼らの帯域幅の浪費であるからだけでなく、あなたが見つけて訴えようとすれば彼らがもっと失うべきであるのであなたはあなたのISPがこれをすると期待するべきではない。しかし、あなたの質問に対するより正確な答えこれはできますか？そうです、それは誰もがあなたがグーグルやウィキイングであるものを見るために十分に気にするということはまずないでしょう。

— tophersmith116
ソース