Скільки інформації може бачити мій провайдер?

26

Чи можна, щоб мій Інтернет-провайдер бачив паролі, які я вводив на веб-сайтах і в програмах чату? А як щодо веб-сайтів SSL, які починаються з https, вони шифрують моє ім’я користувача та пароль, перш ніж потрапити до провайдера?

— Гохарі
джерело

3

Чи можливо це ? Так для відсутності SSL матеріалу (який не є надійним, але я намагаюся зберегти цей короткий і практично). Це ймовірно? Не так багато.

— Роб Моїр

1

Пов’язано: Чи може мій провайдер контролювати мене?

— Ар'ян

25

Якщо ви починаєте з https://адреси, все шифрується між вашим комп'ютером та віддаленим сервером, тому ваш Інтернет-провайдер не може перехопити будь-які ваші дані ^†^* . Ваш Інтернет-провайдер може легко переглядати будь-які не-ssl ( http://) з'єднання.

Зверніть увагу , що Firesheep світлячок плагін піддається отвір в цьому механізмі в минулому році. Багато веб-сайтів використовують https лише для початкового входу, а потім переходять на http для решти трафіку. У цьому випадку ваш Інтернет-провайдер може перехопити ваш трафік після входу в систему. Хтось інший у вашій локальній мережі також може запустити плагін для пожежогасіння та викрасти ваш сеанс, скажімо, у facebook та видати себе за себе.

Більшість великих веб-сайтів зараз весь час переходять на https, щоб виправити цю дірку. Це насправді не те, про що потрібно надто хвилюватися в домашній мережі, але ви повинні знати, як це працює.

^{^† Якщо припустити, що ви не ігноруєте попередження сертифікатів, і ваш комп'ютер / браузер не було порушено.}

^{^* Він також може бачити ім'я хоста, який ви вимагаєте від можливо спільного хоста. Оскільки TLS1.0 ім'я хоста передається в простому тексті (SNI)}

— Філ Холленбек
джерело

@Arjan - з цим редагуванням ця відповідь набагато краще. Ура.

— Rory Alsop

Також слід зазначити, що інші протоколи (тобто telnet:) мають лише чіткий текст. YMMV з протоколами чату.

— Іссі

Так, попередження про програми чату є хорошим, оскільки вони можуть використовувати різні протоколи.

— Phil Hollenback

@Iszi Ніхто не використовує telnet, я припускаю? Я коли-небудь використовував такі речі для розваги (sic).

— Каміло Мартін

@CamiloMartin Ви здивувались. Перші приклади, які приходять на думку, - це MUD. Я впевнений, що є й інші.

— Іссі

9

Думаю, ви можете подивитися наступне відео з 27-го конгресу зв'язку з хаосу (CCC):

"Як Інтернет бачить вас: демонструючи, яку діяльність ви бачите в Інтернеті більшість провайдерів"

Інформаційна сторінка
Відео (вставляти) та mp4 для завантаження
Pdf розмови

— лабораторія
джерело

4

Філіф підходить для " Якщо ви починаєте з https://адреси, все шифрується між вашим комп'ютером та віддаленим сервером ", з одним застереженням: все, що ви знаєте з HTTPS, - це те, що все шифрується між вашим комп'ютером та десь ще.

Існує ризик, що ваші комунікації можуть бути порушені в Інтернет-провайдері з використанням людини в середній атаці - і якщо ви думаєте, що цього не може статися, дивіться новини про Туніс, які показують, що може статися, якщо зловмисний агент має доступ у Рівень провайдера.

Цього можна уникнути, лише якщо:

Користувач завжди використовує правильну https://URL-адресу.
Користувач не ігнорує попередження сертифікату.
Користувач на 100% впевнений, що їх комп'ютер не був підроблений.

В іншому випадку Інтернет-провайдер може зірвати з'єднання таким чином, що користувач, який не сприймає технологій, може не помітити.

— Рорі також
джерело

Гаразд, прибирання тоді. (А як щодо використання джерела Markdown для кращого форматування та зв’язування?)

— Arjan

1

Я видалив декілька коментарів, тепер трохи зауважив осиротілий @ weeheavy, в якому "неправильно" було спрямовано на мене, а не на відповідь: ці пристрої можуть працювати лише у корпоративних середовищах, де браузер налаштований приймати підроблені сертифікати.

— Ар'ян

0

Впевнені, ваш Інтернет-провайдер (або хтось інший, який користується своїм обладнанням без дозволу, що є серйозним ризиком сам по собі) може прочитати незашифровані дані, що надходять через їх мережу. Як правило, незашифрований трафік включає трафік електронної пошти, веб- і FTP, якщо спеціально не шифрується за допомогою SSL або TLS, як у протоколі HTTPS.

Також зазвичай ваш Інтернет-провайдер вважає за краще, щоб принаймні паролі, які ви надсилаєте через Інтернет (зокрема, для їхніх електронних адрес), були зашифровані, щоб запобігти зловмисникам десь компрометувати маршрутизатор - як, наприклад, ваш бездротовий маршрутизатор пароль за замовчуванням - та отримання доступу до своїх серверів. Хоча уряд може змусити провайдера прослухати ваш трафік для їх цілей, набагато більша загроза для вас існує у людей, які хотіли б викрасти вашу приватну інформацію та / або гроші.

— Ерні Данбар
джерело

Чи блокує TLS випадок, коли "уряд може змусити провайдера" зламати вас?

— Pacerier

0

Не є безпосередньо відповіддю на ваше запитання, але паролі частіше крадуть за допомогою кейлоггера (програмне забезпечення, незаконно встановленого на вашому ПК, яке записує всі ваші натискання клавіш), або соціальної інженерії, наприклад фішингу. (Фішинг - це надсилання електронного листа, який підманює вас увійти до "підробленої версії" Facebook чи будь-чого іншого, таким чином розкриваючи свій пароль фішерів, а потім перенаправляючи вас на справжній. Більшість жертв спочатку навіть не розуміють, що сталося .)

— CarlF
джерело