質問: https経由で閲覧するときに、サードパーティがurlを読み取ることはできますか? httpsは、コンピューターとサーバー間の接続を暗号化して、サードパーティが表示できないようにすることは誰もが知っています。ただし、ispまたはサードパーティは、ユーザーがアクセスしたページの正確なリンクを確認できますか?たとえば、私は訪問しますhttps://www.website.com/data/abc.html ispは、私が* /data/abc.htmlにアクセスしたことを知っていますか、それともwww.website.comのipにアクセスしたことを知っていますか?彼らが知っているなら、誰かがインターネットログを読んでユーザーが見た正確なコンテンツを見つけることができるのに、なぜウィキペディアとグーグルはhttpsを持っているのですか?
回答: ispは、あなたがwww.website.comに関連付けられたipアドレスにアクセスしたことだけを認識します(dnsを使用していて、トラフィックを特に探している場合はurlかもしれません。dnsクエリが通過しない場合は、通過しません。それを参照してください)。(ここで少し我慢してください-私は答えを得ます。)httpプロトコルが機能する方法は、ポート(通常はポート80)に接続し、webブラウザーが必要なページをサーバーに伝達することです。http://www.sitename.com/url/of/site.htmlを検索する単純な要求には、次の行があります。 get /url/of/site.html http/1.1 ホスト:www.sitename.com httpsは、ポート443を除いてまったく同じことを行います– and tcpセッション全体(つまり、上記の引用符に表示されているすべてのものと応答)をssl暗号化にラップしますセッション– ispはトラフィックを認識しません(ただし、サイトのサイズと、最初にwww.sitename.comをipアドレスに解決するためのdnsルックアップに基づいて何かを推測できる場合があります)。もちろん、ページに「webバグ」が埋め込まれている場合、これにより、情報配布者の「パートナー」に、あなたが見ているものとあなたが誰であるかについてのヒントを与えることができます。同様に、信頼の連鎖が壊れている場合、ispは実行できます。中間者攻撃。理論的には、プライベートエンドツーエンド暗号化を使用できる理由は、ブラウザで配布されるca証明書のためです。 ispまたは政府がca証明書を追加するか、caを侵害する可能性があり、両方が過去に発生した場合は、セキュリティが失われます。中国のグレートファイアウォールは、httpsデータを読み取るためにman-in-the-middle攻撃を効果的に実行していると思いますが、私がそこにいたのは久しぶりです。コンピュータに出入りするトラフィックをスニッフィングするソフトウェアを入手することで、これを自分で簡単にテストできます。 wiresharkと呼ばれる無料のソフトウェアがこれをやってくれると思います。