SSL 是否也加密 DNS 地址？

Question

如果我向以下地址发出 HTTP 请求：

https://hello.domain.com

连接也会加密域地址 ( hello.domain.com) 吗？因此，嗅探流量仍然无法猜测请求的 DNS 地址是什么。

注意：我说的是 DNS 地址，而不是解析的 IP 地址。

Answer 1

不。

例如，为了让 Web 浏览器确定某个主机的 IP 地址example.com，它必须在 DNS 中查找该地址，并且该单独的连接未加密。

因此，SSL/TLS 并不能完全抵御恶意 ISP。这样的攻击者仍然可以确定 Web 浏览器想要访问哪个站点，即使他无法读取实际数据。

此外，当前的 TLS 实现将始终以明文形式发送服务器的完全限定域名，以支持Server Name Indication。因此，恶意 ISP 甚至不需要查看您的 DNS 查询。