Μπορούν τα τρίτα μέρη να διαβάσουν την πλήρη διεύθυνση URL κατά την περιήγηση μέσω HTTPS;

Όταν επισκέπτεστε ασφαλώς έναν ιστότοπο μέσω του https: // τα δεδομένα που αποστέλλονται μεταξύ του διακομιστή και του προγράμματος περιήγησής σας είναι κρυπτογραφημένα, αλλά τι γίνεται με τις διευθύνσεις URL που επισκέπτεστε στον ιστότοπο; Μπορεί ο πάροχος υπηρεσιών διαδικτύου ή άλλος παρατηρητής τρίτου μέρους να δει τι ψάχνετε?

Η σημερινή συνάντηση ερωτήσεων και απαντήσεων έρχεται σε επαφή με το SuperUser - μια υποδιαίρεση του Stack Exchange, μια κοινότητα που κατευθύνεται από τους ιστότοπους ερωτήσεων & απαντήσεων.

Το ερώτημα

Ένας ανώνυμος αναγνώστης του SuperUser θέλει να μάθει εάν οι περιόδους περιήγησής του είναι απολύτως ασφαλείς:

Όλοι γνωρίζουμε ότι το HTTPS κρυπτογραφεί τη σύνδεση μεταξύ του υπολογιστή και του διακομιστή, ώστε να μην μπορεί να προβληθεί από τρίτο μέρος. Ωστόσο, ο ISP ή τρίτο μέρος μπορεί να δει τον ακριβή σύνδεσμο της σελίδας που έχει πρόσβαση ο χρήστης?

Για παράδειγμα, επισκέπτομαι:

https://www.website.com/data/abc.html

Θα γνωρίζει ο ISP ότι έχω πρόσβαση * / data / abc.html ή απλά γνωρίζω ότι επισκέφτηκα την IP της www.website.com?

Αν ξέρουν, τότε γιατί η Wikipedia και η Google έχουν HTTPS όταν κάποιος μπορεί να διαβάσει μόνο τα αρχεία καταγραφής του Διαδικτύου και να βρει το ακριβές περιεχόμενο που είδε ο χρήστης?

Μια ενδιαφέρουσα ερώτηση που σίγουρα έχει επιπτώσεις στην ιδιωτική ζωή. Ας ερευνήσουμε.

Η απάντηση

Ο συνεργάτης του SuperUser Grawity προσφέρει μια πολύ συνοπτική επισκόπηση του τρόπου επεξεργασίας της πλήρους διεύθυνσης URL κατά μήκος της πορείας:

Απο αριστερά προς δεξιά:

ο σχήματος https: προφανώς, ερμηνεύεται από το πρόγραμμα περιήγησης.

ο όνομα τομέα www.website.com έχει επιλυθεί σε μια διεύθυνση IP χρησιμοποιώντας το DNS. Ο ISP σας θα δούμε το αίτημα DNS για αυτόν τον τομέα και την απάντηση.

ο μονοπάτι /data/abc.html αποστέλλεται στην αίτηση HTTP. Εάν χρησιμοποιείτε το HTTPS, αυτό θα κρυπτογραφηθεί μαζί με το υπόλοιπο της αίτησης και απάντησης HTTP.

ο ερώτηση συμβολοσειρά ?αυτό = αυτό, εάν υπάρχει στη διεύθυνση URL, αποστέλλεται στο αίτημα HTTP - μαζί με τη διαδρομή. Έτσι, είναι επίσης κρυπτογραφημένο.

ο θραύσμα #εκεί, αν υπάρχει, δεν αποστέλλεται οπουδήποτε - ερμηνεύεται από το πρόγραμμα περιήγησης (μερικές φορές από τη JavaScript στη σελίδα που επιστρέφεται).

Εν ολίγοις, τα πάντα στα δεξιά του ονόματος τομέα είναι κρυπτογραφημένα από την περίοδο σύνδεσης HTTPS και παραμένουν αόρατα στον ISP σας ή σε οποιονδήποτε άλλον να διερευνήσει τις δραστηριότητές σας.

Έχετε κάτι να προσθέσετε στην εξήγηση; Απενεργοποιήστε τα σχόλια. Θέλετε να διαβάσετε περισσότερες απαντήσεις από άλλους τεχνολογικούς χρήστες Stack Exchange; Δείτε το πλήρες νήμα συζήτησης εδώ.