Czy strony trzecie mogą czytać pełny adres URL podczas przeglądania za pomocą HTTPS?

Gdy bezpiecznie odwiedzasz stronę za pośrednictwem https: // dane przesyłane między serwerem a przeglądarką są szyfrowane, ale co z adresami URL odwiedzanymi w witrynie? Czy Twój ISP lub inny obserwator zewnętrzny może zobaczyć, na co patrzysz?

Dzisiejsze pytanie &Sesja odpowiedzi przychodzi do nas dzięki uprzejmości SuperUser - poddziału Stack Exchange, opartego na społecznościach grupy Q & A.

Pytanie

Anonimowy czytnik SuperUser chce wiedzieć, czy jego sesje przeglądania są całkowicie bezpieczne:

Wszyscy wiemy, że HTTPS szyfruje połączenie między komputerem a serwerem, aby nie mogło być oglądane przez osobę trzecią.Czy jednak dostawca usług internetowych lub strona trzecia może zobaczyć dokładny link strony, do której użytkownik uzyskał dostęp?

Na przykład: odwiedzam:

https: //www.website.com/data/ abc.html

Czy dostawca usług internetowych dowie się, że uzyskałem dostęp do * /data/ abc.html lub po prostu wiedziałem, że odwiedziłem adres IP witryny www.website.com?

Jeśli wiedzą, dlaczego Wikipedia i Google mają HTTPS, gdy ktoś może po prostu odczytać dzienniki internetowe i dowiedzieć się, jakie dokładnie treści oglądał użytkownik?

Interesujące pytanie, które z pewnością ma wpływ na prywatność.Zbadajmy.

Odpowiedź Autor

SuperUser Grawity oferuje bardzo zwięzły przegląd sposobu przetwarzania pełnego adresu URL:

Od lewej do prawej:

Schemat https: jest oczywiście interpretowany przez przeglądarkę.

Nazwa domeny www.website.com została rozwiązana na adres IP za pomocą usługi DNS.Twój ISP zobaczy żądanie DNS dla tej domeny i odpowiedź.

Ścieżka /data/ abc.html jest wysyłana w żądaniu HTTP.Jeśli używasz protokołu HTTPS, to będzie szyfrowany wraz z resztą żądania HTTP i odpowiedzi.

Ciąg zapytania ? To = to, jeśli jest obecne w adresie URL, jest wysyłane w żądaniu HTTP - wraz ze ścieżką.Więc jest również zaszyfrowany.

Fragment #tutaj, jeśli jest obecny, nie jest nigdzie wysyłany - jest interpretowany przez przeglądarkę( czasami przez JavaScript na zwróconej stronie).

Krótko mówiąc, wszystko po prawej stronie nazwy domeny jest szyfrowane przez sesję HTTPS i pozostaje niewidoczne dla twojego dostawcy Internetu lub kogokolwiek innego, kto podgląda twoje działania.

Czy chcesz coś dodać do wyjaśnienia? Dźwięk w komentarzach. Chcesz przeczytać więcej odpowiedzi od innych użytkowników Stack Exchange, którzy znają się na technologii? Sprawdź cały wątek dyskusji tutaj.