Чи зашифровані заголовки HTTPS?

Під час надсилання даних через HTTPS я знаю, що вміст зашифровано, проте я чую неоднозначні відповіді про те, чи зашифровані заголовки, чи велика частина заголовка зашифрована.

Скільки HTTPS заголовки будуть зашифровані?

Включаючи URL-адреси GET / POST, файли cookie тощо

Весь лот зашифрований ^† - всі заголовки. Ось чому SSL для vhosts працює не надто добре - вам потрібна спеціальна IP-адреса, оскільки заголовок Host зашифрований.

^† Стандарт ідентифікації імені сервера (SNI) означає, що ім'я хоста може бути не зашифровано, якщо ви використовуєте TLS. Крім того, використовуєте ви чи ні SNI, заголовки TCP та IP ніколи не шифруються. (Якби вони були, ваші пакети не були б маршрутизованими.)

Заголовки повністю зашифровані. Єдина інформація, що переходить через мережу "в чистоті", пов'язана з налаштуванням SSL та обміном ключів D / H. Цей обмін ретельно розроблений, щоб не давати корисної інформації підслуховувачам, і як тільки він відбувся, всі дані шифруються.

Нова відповідь на старе запитання, вибачте. Я думав, що додам $ 02

ОП запитала, чи зашифровані заголовки.

Вони: в дорозі.

Вони НЕ: коли не в дорозі.

Отже, URL-адреса вашого веб-переглядача (та заголовок у деяких випадках) може відображати рядок запитів (які зазвичай містять найчутливіші деталі) та деякі деталі у заголовку; браузер знає деяку інформацію заголовка (тип вмісту, унікод тощо); історія веб-переглядача, керування паролем, вибране / закладки та кешовані сторінки містять рядки запитів. Журнали серверів на віддаленому кінці також можуть містити рядок запитів, а також деякі відомості про вміст.

Крім того, URL-адреса не завжди захищена: домен, протокол і порт видно, інакше маршрутизатори не знають, куди надсилати ваші запити.

Крім того, якщо у вас є проксі-сервер HTTP, проксі-сервер знає адресу, зазвичай вони не знають повного рядка запитів.

Отже, якщо дані рухаються, вони, як правило, захищені. Якщо він не в дорозі, він не шифрується.

Не для вибору ниток, але дані в кінці також розшифровуються, і їх можна за бажанням проаналізувати, прочитати, зберегти, переслати або відкинути. І зловмисне програмне забезпечення на будь-якому кінці може робити знімки даних, що вводять (або закривають) протокол SSL - наприклад, (поганий) Javascript всередині сторінки всередині HTTPS, який може натомість робити http (або https) дзвінки на веб-сайти, що реєструються (оскільки доступ до локального жорсткого диска) часто обмежений і не корисний).

Також файли cookie не шифруються за протоколом HTTPS. Розробники, які хочуть зберігати конфіденційні дані у файлах cookie (або деінде з цього питання), повинні використовувати власний механізм шифрування.

Що стосується кешування, то більшість сучасних браузерів не кешуватимуть сторінки HTTPS, але цей факт не визначений протоколом HTTPS, він повністю залежить від розробника браузера, щоб бути впевненим у тому, щоб не кешувати сторінки, отримані через HTTPS.

Тож якщо ви переживаєте за нюхання пакетів, ви, мабуть, добре. Але якщо ви переживаєте про зловмисне програмне забезпечення або хтось переглядає вашу історію, закладки, файли cookie чи кеш, вам поки що не виходить з води.

HTTP версія 1.1 додала спеціальний метод HTTP, CONNECT - призначений для створення тунелю SSL, включаючи необхідне рукостискання протоколу та налаштування криптографічних даних.
Після цього регулярні запити надсилаються загорнуті в тунель SSL, заголовки та тіло включно.

За допомогою SSL шифрування знаходиться на транспортному рівні, тому воно відбувається перед тим, як надсилати запит.

Отже все в запиті зашифроване.

HTTPS (HTTP через SSL) надсилає весь вміст HTTP через тунель SSL, тому вміст і заголовки HTTP також шифруються.

Так, заголовки зашифровані. Це написано тут .

Все в повідомленні HTTPS зашифроване, включаючи заголовки та завантаження запиту / відповіді.

URL-адреса також зашифрована, у вас дійсно є тільки IP, порт та SNI, ім'я хоста, які не шифруються.