¿Los encabezados HTTPS están encriptados?
Al enviar datos a través de HTTPS, sé que el contenido está encriptado, sin embargo, escucho respuestas mixtas sobre si los encabezados están encriptados o cuánto del encabezado está encriptado.
¿Cuánto de los encabezados HTTPS están encriptados?
Incluyendo URL de solicitud GET/POST, Cookies, etc.
8 answers
Todo el lote está cifrado† - todos los encabezados. Es por eso que SSL en vhosts no funciona demasiado bien: necesita una dirección IP dedicada porque el encabezado del host está cifrado.
†El estándar de Identificación de Nombre de servidor (SNI) significa que el nombre de host puede no estar cifrado si está utilizando TLS. Además, ya sea que esté usando SNI o no, los encabezados TCP e IP nunca se cifran. (Si lo fueran, sus paquetes no serían enrutables.)
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2016-11-19 00:25:54
Los encabezados están completamente encriptados. La única información que pasa por la red 'in the clear' está relacionada con la configuración SSL y el intercambio de claves D/H. Este intercambio está cuidadosamente diseñado para no proporcionar ninguna información útil a los espías, y una vez que ha tenido lugar, todos los datos se cifran.
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2008-10-09 15:05:26
HTTP la versión 1.1 agregó un método HTTP especial, CONNECT - destinado a crear el túnel SSL, incluyendo el protocolo necesario handshake y la configuración criptográfica.
Las solicitudes regulares a partir de entonces se envían envueltas en el túnel SSL, encabezados y cuerpo incluido.
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2008-10-09 22:11:41
Nueva respuesta a la vieja pregunta, lo siento. Pensé en añadir mi $02
El OP preguntó si las cabeceras estaban cifradas.
Están: en tránsito.
NO están: cuando no están en tránsito.
Por lo tanto, la URL de su navegador (y el título, en algunos casos) puede mostrar la cadena de consultas (que generalmente contiene los detalles más confidenciales) y algunos detalles en el encabezado; el navegador conoce cierta información del encabezado( tipo de contenido, unicode, etc.); y el historial del navegador, la administración de contraseñas, favoritos / marcadores, y las páginas en caché contendrán la cadena de consultas. Los registros del servidor en el extremo remoto también pueden contener querystring, así como algunos detalles de contenido.
Además, la URL no siempre es segura: el dominio, el protocolo y el puerto son visibles; de lo contrario, los enrutadores no saben dónde enviar sus solicitudes.
Además, si tiene un proxy HTTP, el servidor proxy conoce la dirección, generalmente no conoce la cadena de consultas completa.
Así que si los datos se están moviendo, es generalmente protegida. Si no está en tránsito, no está encriptado.
No para nit pick, pero los datos al final también se descifran, y se pueden analizar, leer, guardar, reenviar o descartar a voluntad. Y, el malware en cualquiera de los extremos puede tomar instantáneas de datos que ingresan (o salen) el protocolo SSL, como Javascript (malo) dentro de una página dentro de HTTPS, que puede realizar subrepticiamente llamadas http (o https) a sitios web de registro (ya que el acceso al disco duro local a menudo está restringido y no es útil).
También, las cookies tampoco están cifradas bajo el protocolo HTTPS. Los desarrolladores que deseen almacenar datos confidenciales en cookies (o en cualquier otro lugar) deben usar su propio mecanismo de cifrado.
En cuanto a la caché, la mayoría de los navegadores modernos no cachean páginas HTTPS, pero ese hecho no está definido por el protocolo HTTPS, depende completamente del desarrollador de un navegador para asegurarse de no almacenar en caché las páginas recibidas a través de HTTPS.
Así que si te preocupa oler paquetes, probablemente estés Vale. Pero si te preocupa el malware o alguien que hurgue en tu historial, marcadores, cookies o caché, todavía no estás fuera del agua.
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2018-01-19 13:13:00
Con SSL el cifrado está en el nivel de transporte, por lo que se lleva a cabo antes de que se envíe una solicitud.
Así que todo en la solicitud está encriptado.
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2008-10-09 15:05:10
HTTPS (HTTP sobre SSL) envía todo el contenido HTTP a través de un túnel SSL, por lo que el contenido HTTP y los encabezados también están encriptados.
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2008-10-09 15:10:16
Sí, los encabezados están encriptados. Está escrito aquí.
Todo en el mensaje HTTPS está encriptado, incluyendo los encabezados y la carga de solicitud/respuesta.
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2016-02-18 13:23:24
La URL también está cifrada, realmente solo tiene la IP, el Puerto y si SNI, el nombre de host que no están cifrados.
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/ajaxhispano.com/template/agent.layouts/content.php on line 61
2015-11-21 05:25:06