我的雇主可以看到使用公司 Wifi 在个人手机上查看的网站吗？

Question

我有一个问题，网上没有人能够正确回答。如果我使用个人 iPhone，连接到我公司的访客 WiFi，并浏览到，例如，https://google.com/news我的雇主是否看到/记录：

一些答案说 HTTPS 加密了 URL 的一部分，其他人说完整的 URL 将在路由器日志中被捕获。

大多数回答我的人都说场景 1 最有可能是“/”之后的 URL 详细信息由于 HTTPS 连接而保持不可见，因此不会被路由器日志捕获。其他人说网络管理员可以看到和记录任何东西（对我来说这似乎打败了 HTTPS 的一个要点？再说一遍，这是一部没有人可以访问的个人 iPhone。

Answer 1

这里不仅仅需要考虑 HTTP...

无线上网

WiFi 本质上是一种令人难以置信的开放技术。任何在您附近有天线和收音机的人都可以收集流量。

WiFi 网络本身可以加密，但有很多方法可以解决这个问题。如果您连接到公司网络，则附近的其他人可能也知道密码。

请记住 - 网络管理员可以看到通过其网络的所有流量，并且没有什么可以阻止他们捕获和存档这些流量。

如果在“安全”会话中发现弱点，则任何收集到的数据都可能遭到破坏并可能被解密。

如果计算能力足够进步，暴力破解可能是获取纯文本数据的可行选择。

普通公司不太可能记录“在线”流量的重要帐户。

根据您设备的MAC 地址，流量可以直接绑定到您的手机。

“ MAC 地址随机化”是最近提供的……但是在某些情况下，这不足以正确地匿名化流量。

对于标准电话设置，网络运营商和您的邻居很容易看到DNS查询。例如，您的手机要求提供google.com、或的 IP 地址mail.google.com。

这是可能的，但我建议公司不太可能记录 DNS 查询——除非它们的大小合理。

与网络/互联网上的另一个系统通信需要使用远程系统的IP 地址相应地定向数据包。

在许多情况下，这将标识您直接与之通信的站点或公司（即：Google 服务器仅托管 Google 服务）。然而，许多较小的网站使用共享主机（即：单个服务器上的多个网站），从而使您浏览的网站不那么隐蔽。

通常，实际的 Web 流量将使用 SSL / HTTPS 进行加密。但请记住，仍有一些网站不强制执行甚至不提供 HTTPS 支持，因此在这些情况下，所有流量都可以“看到”。

对于使用 HTTPS（忽略上面的 DNS 信息）的网站，现在可以使用Server Name Indication在单个服务器上托管多个域。这允许服务器使用正确的 SSL 证书响应握手，具体取决于客户端从哪个域请求信息。

在这种情况下，主机名仍以纯文本形式作为握手的一部分发送，因此是可见的。

在HTTPS的情况下被使用，但有仍对网络运营商来解密流量的可能性。许多公司运行代理，在员工设备（笔记本电脑、电话等）上安装证书。

在这种情况下，您很容易受到“中间人”攻击——您的雇主可以解密所有流量，提供代理类型的服务（例如：内容过滤、缓存等），然后可能转发您的请求使用“正确”证书发送到目标服务器。

这对于个人设备来说不太可能。

这也可以通过DNS 证书颁发机构授权在一定程度上缓解……除非运营商也为此欺骗 DNS 响应。我不知道浏览器是否完全缓存了 DNS CAA 响应......

如果您使用的是 VPN，并且所有配置都正确，那么可能只有 VPN 服务器的 DNS 记录会在本地泄漏（假设您没有使用直接 IP），但我上面关于捕获和存档流量的声明仍然有效。您还需要信任您的 VPN 提供商。

但是，如果您的 VPN 设置没有正确配置，那么DNS 查询仍然很容易泄漏。

总之，假设：

网络运营商（以及附近的任何人）可以看到所有流量。
网络运营商绝对可以看到您正在与之通信的远程服务器的 IP 地址。
几乎可以肯定，网络运营商可以看到您与之通信的站点的主机名（例如：）google.com。
- 主机名将通过 DNS 泄漏。
- 主机名也可能会通过 SNI 泄漏（SSL 握手的一部分）
可以推断模式（例如：）https://。
公司设备的流量很可能在代理处被解密。否则其他人不太可能轻易“看到”您的解密流量。
任何捕获的数据在未来都可能是有价值的——加密实际上是一种临时措施——直到发现漏洞，或者计算能力进步到足以使暴力破解变得微不足道。