Чи зашифровані дані POST через з'єднання SSL?

Я налаштував свій веб-сервер для використання SSL (я використовую WAMP для мого сценарію постановки, перш ніж перенести його на загальнодоступні сервери). Мета цього веб-сайту досягла успіху, і я можу використовувати сайт із віддалених комп'ютерів за допомогою протоколу HTTPS.

Занепокоєння, яке виникло у одного з моїх користувачів (тестерів), було пов'язане з даними POST. У своєму тестовому сценарії він знаходиться на місці у одного з наших потенційних клієнтів, отримуючи доступ до сайту за їх ДУЖЕ вибагливим корпоративним брандмауером (ми вже розробили, як цей сайт застосовується до їхнього AUP, і ми чисті). Він запускає сайт у FireFox, використовуючи Firebug для моніторингу даних POST та GET. Питання тут:

У його вікні Firebug POST та відповідь від XMLHTTPRequest повертаються у простому тексті. Це тому, що саме він ініціював безпечне з'єднання? Чи з’являться дані POST / Response до адміністраторів мережі або журналів?

Зверніть увагу, що наміром тут є не обманювати адміністраторів чи обходити політику; це додаток, призначений для людей на місці в різних місцях, яким потрібно передавати конфіденційні дані. Використання буде узгоджено з кожною мережевою інфраструктурою, з якою ми стикаємося.

ssl https encryption

— Хонус Вагнер
джерело

навіть URL-адреса та рядок запитів зашифровані

— Ніл МакГуйган

Як простий тест і правильне використання інструментів нюхання, використовуйте tshark / WireShark для фільтрування на основі http.request.uri, і ви бачите, коли ви працюєте з https, нічого не відображається. З іншого боку, надішліть той же запит через http, і ви все побачите.

— Мазіяр

Так, дані POST повинні бути зашифровані. Все в HTTP-запиті має бути зашифровано в SSL-розмові. Firebug отримує свою інформацію після того, як браузер розшифрував дані SSL. Якщо ви хочете забезпечити це, використовуйте щось на зразок Fiddler або WebScarab як проксі, який сидить посеред, хоча вам, можливо, доведеться грати в ігри, щоб змусити їх грати в SSL. Ось сторінка про те, як розшифрувати трафік HTTPS за допомогою Fiddler.

— шквал
джерело

Якщо ви взагалі сумніваєтесь у шифруванні, киньте Wireshark на клієнта і нюхайте трафік.

— Еван Андерсон

Я перевірив Fiddler та порівняв POSTS та GETS між HTTPS та HTTP даними та підтвердив, що POSTS та GETS захищені. Спасибі!

— Хонус Вагнер

@Evan Що я повинен шукати на Wireshark?

— Хонус Вагнер

@Honus: Ви шукаєте сміття :). Якщо дані не зашифровані, ви зможете побачити їх у Wireshark. Якщо він зашифрований - ви побачите зашифровані (нечитабельні) дані.

— Сонячно

@Honus: Wireshark - це аналізатор пакетів, тому він може / показуватиме всі пакети, що надходять через провід. Ви можете бачити весь мережевий трафік незалежно від протоколів рівня додатків. Є фільтри (в тому числі для HTTP), які дозволяють вам звузити речі, щоб легше побачити, що ви шукаєте.

— шквал