HTTPS标头是否已加密？

Question

HTTPS标头是否已加密？

Dan*_*ert 554 security encryption https post get

通过HTTPS发送数据时,我知道内容已加密,但我听到有关标头是否已加密或标头加密程度的混合答案.

有多少HTTPS标头已加密？

包括GET/POST请求URL,Cookie等.

Answer 1

Gre*_*reg 518

整个批次都是加密的^† - 所有标题.这就是为什么SSL on vhosts工作得不好 - 你需要一个专用的IP地址,因为主机头是加密的.

^†服务器名称标识(SNI)标准表示如果您使用TLS,主机名可能不会被加密.此外,无论您是否使用SNI,TCP和IP标头都不会加密.(如果是,您的数据包将无法路由.)

Afaik URL 本身没有加密。 (3认同)
@Teddu你的意思是"URL本身没有加密." 它是加密的,因为它是标题的一部分. (3认同)
@Bochen 和 Pegasus 一样。如果您位于 HTTPS 隧道的任一端，那么您可以看到一切。同样，我可以在浏览器开发工具中看到任何内容。 (3认同)
@Greg,由于vhost网关已获得授权,网关无法解密它们,观察主机头,然后确定将数据包发送到哪个主机？ (2认同)
如果用Fiddler来抓https通信，还是会显示一些headers，为什么？特别是，当 Internet 连接通过需要身份验证的代理时，当请求在第一次发送时获得 407 后重新发送时，它会显示 Proxy-Authorization 标头。 (2认同)

Answer 2

mdb*_*mdb 96

标头完全加密.通过网络"清除"的唯一信息与SSL设置和D/H密钥交换有关.此交换经过精心设计,不会向窃听者提供任何有用的信息,一旦发生,所有数据都会被加密.

有点迂腐:客户端和服务器的IP地址,服务器的主机名以及有关其SSL实现的信号对窃听者很有用,并且是可见的. (28认同)
并非所有SSL设置都涉及DH (4认同)

Answer 3

And*_*ngs 60

对旧问题的新答案,对不起.我以为我会加我的$ .02

OP询问标题是否已加密.

他们是:在途中.

他们不是:不在途中.

因此,您的浏览器的URL(以及标题,在某些情况下)可以显示查询字符串(通常包含最敏感的详细信息)和标题中的一些详细信息; 浏览器知道一些标题信息(内容类型,unicode等); 和浏览器历史记录,密码管理,收藏夹/书签和缓存页面都将包含查询字符串.远程端的服务器日志还可以包含查询字符串以及一些内容详细信息.

此外,URL并不总是安全的:域,协议和端口是可见的 - 否则路由器不知道将请求发送到何处.

此外,如果您有HTTP代理,代理服务器知道地址,通常他们不知道完整的查询字符串.

因此,如果数据正在移动,则通常会受到保护.如果它没有传输,则不加密.

不要挑选,但最后的数据也是解密的,可以随意解析,读取,保存,转发或丢弃.并且,任何一端的恶意软件都可以获取进入(或退出)SSL协议的数据的快照 - 例如(在HTML内部的页面内的(坏)Javascript,它可以偷偷地对登录网站进行http(或https)调用(因为访问本地硬盘)通常是受限制的,没有用处).

此外,Cookie也不会在HTTPS协议下加密.希望将敏感数据存储在cookie中(或其他任何地方)的开发人员需要使用自己的加密机制.

至于缓存,大多数现代浏览器都不会缓存HTTPS页面,但这个事实不是由HTTPS协议定义的,它完全依赖于浏览器的开发者,以确保不缓存通过HTTPS接收的页面.

所以如果你担心数据包嗅探,你可能还可以.但是,如果您担心恶意软件或者有人在浏览您的历史记录,书签,Cookie或缓存,那么您还没有脱离困境.

我知道好的答案是最重要的,但这又一次插入*错误*信息.除非使用SNI,否则域*不可见.除IP和TCP之外的协议*不可见.您无法判断我是使用HTTP 1.1,SPDY还是HTTP2.在两个端点上可见的内容是无关紧要的,因为加密的目标不是使事物*不可见*而是使事物*仅对可信方*可见*.因此,问题中隐含了端点,并且可以删除大约2/3的答案.代理信息应该是:如果您使用HTTPS代理,那么它*可以访问所有内容*. (16认同)
您的链接特别指出Cookie已加密:"访问者的连接已加密,模糊了网址,Cookie和其他敏感元数据." (5认同)
@DylanYoung SSL =安全**套接字**层; TLS =**传输**层安全性.加密是在套接字(连接)级别,或者在传输级别上进行另一种方式,而不是在每个域数据库的浏览器中存储. (4认同)
对，那是正确的。Cookie 在传输过程中会被加密，但一旦到达浏览器，它们就不会被 SSL 协议加密。开发人员可以对 cookie 数据进行加密，但这超出了 SSL 的范围。 (2认同)