Kiedy bezpiecznie odwiedzasz witrynę za pośrednictwem https: //, dane przesyłane między serwerem a przeglądarką są szyfrowane, ale co z adresami URL odwiedzanymi w witrynie? Czy Twój dostawca usług internetowych lub inny obserwator będący stroną trzecią może zobaczyć, na co patrzysz?
Dzisiejsza sesja pytań i odpowiedzi jest dostępna dzięki uprzejmości SuperUser - części Stack Exchange, grupy witryn internetowych z pytaniami i odpowiedziami.
Pytanie
Anonimowy czytnik SuperUser chce wiedzieć, czy jego sesje przeglądania są całkowicie bezpieczne:
Wszyscy wiemy, że HTTPS szyfruje połączenie między komputerem a serwerem, dzięki czemu nie może być oglądane przez osoby trzecie. Czy jednak dostawca usług internetowych lub strona trzecia może zobaczyć dokładne łącze do strony, do której użytkownik uzyskał dostęp?
Na przykład odwiedzam:
https://www.website.com/data/abc.htmlCzy dostawca usług internetowych będzie wiedział, że uzyskałem dostęp do * / data / abc.html, czy po prostu będzie wiedział, że odwiedziłem adres IP www.website.com?
Jeśli wiedzą, dlaczego Wikipedia i Google mają HTTPS, skoro ktoś może po prostu przeczytać dzienniki internetowe i dowiedzieć się, jakie dokładnie treści przeglądał użytkownik?
Ciekawe pytanie, które z pewnością ma wpływ na prywatność osobistą. Zbadajmy.
Odpowiedź
Współautor SuperUser, Grawity, oferuje bardzo zwięzłe omówienie sposobu przetwarzania pełnego adresu URL po drodze:
Od lewej do prawej:
Plik schemat
https:jest oczywiście interpretowane przez przeglądarkę.Plik Nazwa domeny
www.website.comjest tłumaczony na adres IP za pomocą DNS. Twój ISP zobaczymy żądanie DNS dla tej domeny i odpowiedź.Plik ścieżka
/data/abc.htmljest wysyłany w żądaniu HTTP. Jeśli używasz protokołu HTTPS, plik zostanie zaszyfrowany wraz z resztą żądania i odpowiedzi HTTP.Plik ciąg zapytania
? to = tamto, jeśli występuje w adresie URL, jest wysyłany w żądaniu HTTP - wraz ze ścieżką. Więc jest też zaszyfrowany.Plik fragment
#tam, jeśli jest obecny, nie jest nigdzie wysyłany - jest interpretowany przez przeglądarkę (czasami przez JavaScript na zwracanej stronie).
Krótko mówiąc, wszystko na prawo od nazwy domeny jest szyfrowane przez sesję HTTPS i pozostaje niewidoczne dla Twojego dostawcy usług internetowych lub kogokolwiek innego podglądającego Twoje działania.
Masz coś do dodania do wyjaśnienia? Dźwięk w komentarzach. Chcesz przeczytać więcej odpowiedzi od innych zaawansowanych technicznie użytkowników Stack Exchange? Sprawdzić pełny wątek dyskusji tutaj .
