Tämä on itse asiassa epämääräinen kysymys. Tämän vuoksi. Kun käytät https-palvelinta, http (täällä on ilmoitettu, että https on vain http TLS: n kautta) on korkeampi kerros kuin alla oleva TLS. Ensimmäinen asia, joka on tehty, on neuvotella TLS-asetukset, kuten salauspaketti, avaimet, kättely jne. Tämä tehdään https-portissa, mutta vielä ei ole http-tietoja. Sitten asiakas tai palvelin vaihtuu salaustilaan, jossa kaikki on salattu.
Tämän neuvottelun päätyttyä se siirtyy sovellustietoihin, jotka ovat pelkästään vanhaa http-protokollaa hyötykuormana.
Mutta nämä tiedot on salattu, joten URL-osoitteita ei näytetä. Kuitenkin, kuten yleisesti tiedetään, palvelimen ja asiakkaan IP-osoitetta EI salata, koska sitä ei käytetä TLS-kerroksessa vaan IPS-kerroksessa, joka on TLS: n alapuolella ja tämä alemmalla tasolla. TLS on IP-paketin hyötykuorma, joka sisältää otsikoina IP-osoitteen, porttinumeron, IP-protokollan, kuten TCP jne. Siksi koska vain TLS on salattu, näitä kohteita ei salata.
Lisäksi salakuuntelu ei ole ongelma, jos palvelimen ja / tai asiakkaan varmenne voidaan "linkittää" pääkäyttäjään tai sillä on kelvollinen varmenne.
Lopuksi haluaisin sanoa, että TLS ja siten HTTPS ovat itse asiassa kehys ja algoritmi korkeimman suojaustason neuvottelemiseen, joka perustuu asiakas- ja palvelinasetuksiin sekä vähimmäistukikehyksiin. Pohjimmiltaan TLS ei määritä todellista salausta. Nämä ovat salauspaketteja, joita säännellään tyypillisesti erillisellä RFC-tyyppisellä asetuksella kuin TLS-protokolla. Pelkästään HTTPS: n perusteella ei siis riitä sanomaan turvallisuuden laatua sen tarjoamilla alueilla. Vain vähäinen turvallisuus ja vaikeus voidaan olettaa. Salauspakettien todellinen laatu on monimutkainen ja kullekin tyypille ominainen kysymys, koska monet luottavat täysin erilaisiin mekanismeihin.
Muokkaa
Myös huomioni on saanut, että TLS: n Server Name Indicator (käytetään useille IP-osoitetta jakaville palvelimille) TLS-laajennus kertoo helposti kenelle tahansa palvelimen verkkotunnuksen. Vain ensimmäisissä palvelimelle lähetetyissä viesteissä kenttä sisältää verkkotunnuksen ASCII-tekstin, kuten "google.com". Joten kuka tahansa, joka seuraa ensimmäistä pakettia, näkee nämä tiedot helposti. Tämä on valinta, joka on yleinen monien verkkosivustojen isäntien keskuudessa nykyään. Mikään URL-osoite ei saa olla suojaamaton.
Lopuksi se riippuu tosiasiallisesti salauspuvuista, ne eivät ole kaikki tasa-arvoisia, kuten oletus salauspaketti, joka ei ole salausta. Sitten kukaan näkisi tavallisen http: n, jos selaimesi ja verkkosivustosi on määritetty tukemaan näitä puvuja. Joten verkkoselaimestasi ja palvelimestasi riippuen missä tahansa vain IP-osoitteesta IP-osoitteeseen sekä verkkotunnukseen (TLS SNI-laajennuksella voidaan joskus myös muulla tavoin selvittää, mikä on vähemmän helppoa), kaikki joissakin muissa tapauksissa salauspukujen vahvuuksista riippuen.