Ao enviar dados por HTTPS, sei que o conteúdo está criptografado; no entanto, ouço respostas mistas sobre se os cabeçalhos estão criptografados ou quanto do cabeçalho está criptografado.
Quanto dos cabeçalhos HTTPS são criptografados?
Incluindo URLs de solicitação GET / POST, cookies, etc.
Respostas:
O lote inteiro é criptografado † - todos os cabeçalhos. É por isso que o SSL no vhosts não funciona muito bem - você precisa de um endereço IP dedicado, porque o cabeçalho do host é criptografado.
† O padrão SNI (Server Name Identification) significa que o nome do host pode não ser criptografado se você estiver usando TLS. Além disso, esteja você usando SNI ou não, os cabeçalhos TCP e IP nunca são criptografados. (Se fossem, seus pacotes não seriam roteáveis.)
fonte
Os cabeçalhos são totalmente criptografados. As únicas informações que passam pela rede 'limpas' estão relacionadas à configuração do SSL e à troca de chaves D / H. Essa troca foi cuidadosamente projetada para não fornecer nenhuma informação útil aos bisbilhoteiros e, uma vez realizada, todos os dados são criptografados.
fonte
Nova resposta à pergunta antiga, desculpe. Eu pensei em adicionar meus $ .02
O OP perguntou se os cabeçalhos estavam criptografados.
Eles são: em trânsito.
Eles NÃO são: quando não estão em trânsito.
Portanto, o URL do navegador (e o título, em alguns casos) pode exibir a sequência de consultas (que geralmente contém os detalhes mais sensíveis) e alguns detalhes no cabeçalho; o navegador conhece algumas informações de cabeçalho (tipo de conteúdo, unicode etc.); e o histórico do navegador, o gerenciamento de senhas, os favoritos / favoritos e as páginas em cache conterão a sequência de consultas. Os logs do servidor na extremidade remota também podem conter string de consulta, além de alguns detalhes do conteúdo.
Além disso, a URL nem sempre é segura: o domínio, o protocolo e a porta são visíveis - caso contrário, os roteadores não sabem para onde enviar suas solicitações.
Além disso, se você possui um proxy HTTP, o servidor proxy sabe o endereço, geralmente ele não conhece a cadeia de consulta completa.
Portanto, se os dados estão em movimento, geralmente estão protegidos. Se não estiver em trânsito, não será criptografado.
Para não escolher, mas os dados no final também são descriptografados e podem ser analisados, lidos, salvos, encaminhados ou descartados à vontade. E malware em cada extremidade pode tirar instantâneos de dados que entram (ou saem) do protocolo SSL - como Javascript (ruim) dentro de uma página dentro de HTTPS que pode fazer clandestinamente chamadas http (ou https) para sites de log (desde o acesso ao disco rígido local) geralmente é restrito e não é útil).
Além disso, os cookies também não são criptografados pelo protocolo HTTPS. Os desenvolvedores que desejam armazenar dados confidenciais em cookies (ou em qualquer outro lugar) precisam usar seu próprio mecanismo de criptografia.
Quanto ao cache, os navegadores mais modernos não armazenam em cache as páginas HTTPS, mas esse fato não é definido pelo protocolo HTTPS, é totalmente dependente do desenvolvedor de um navegador para garantir o cache das páginas recebidas por HTTPS.
Portanto, se você está preocupado com o cheiro de pacotes, provavelmente está bem. Mas se você está preocupado com malware ou alguém vasculhando seu histórico, favoritos, cookies ou cache, ainda não está fora de água.
fonte
O HTTP versão 1.1 adicionou um método HTTP especial, CONNECT - destinado a criar o túnel SSL, incluindo o handshake de protocolo necessário e a configuração criptográfica.
Todas as solicitações regulares a seguir são enviadas agrupadas no túnel SSL, nos cabeçalhos e no corpo, inclusive.
fonte
Com o SSL, a criptografia está no nível de transporte, portanto ocorre antes do envio de uma solicitação.
Portanto, tudo na solicitação é criptografado.
fonte
O HTTPS (HTTP sobre SSL) envia todo o conteúdo HTTP através de um tunel SSL, para que o conteúdo e os cabeçalhos HTTP também sejam criptografados.
fonte
Sim, os cabeçalhos são criptografados. Está escrito aqui .
fonte
o URL também é criptografado, você realmente só tem o IP, a porta e, se SNI, o nome do host não criptografado.
fonte