Czy strony trzecie mogą czytać pełny adres URL podczas przeglądania za pomocą HTTPS?

Kiedy bezpiecznie odwiedzasz stronę za pośrednictwem https: // dane przesyłane między serwerem a przeglądarką są szyfrowane, ale co z adresami URL odwiedzanymi w witrynie? Czy Twój ISP lub inny obserwator zewnętrzny może zobaczyć, na co patrzysz?

Dzisiejsza sesja pytań i odpowiedzi przychodzi do nas dzięki uprzejmości SuperUser - poddziału Stack Exchange, społecznościowego forum z pytaniami i odpowiedziami.

Pytanie

Anonimowy czytnik SuperUser chce wiedzieć, czy jego sesje przeglądania są całkowicie bezpieczne:

Wszyscy wiemy, że HTTPS szyfruje połączenie między komputerem a serwerem, aby nikt nie mógł go oglądać. Czy jednak dostawca usług internetowych lub strona trzecia może zobaczyć dokładny link strony, do której użytkownik uzyskał dostęp?

Na przykład odwiedzam:

https://www.website.com/data/abc.html

Czy dostawca Internetu dowie się, że uzyskałem dostęp do pliku * / data / abc.html lub po prostu wiedziałem, że odwiedziłem adres IP witryny www.website.com?

Jeśli wiedzą, dlaczego Wikipedia i Google mają HTTPS, gdy ktoś może po prostu przeczytać dzienniki internetowe i dowiedzieć się, jakie dokładnie treści oglądał użytkownik?

Ciekawe pytanie, które z pewnością ma wpływ na prywatność. Zbadajmy.

Odpowiedź

Nadawca SuperUser Grawity oferuje bardzo zwięzły przegląd tego, jak cały adres URL jest przetwarzany po drodze:

Od lewej do prawej:

The schemat https: jest oczywiście interpretowane przez przeglądarkę.

The Nazwa domeny www.website.com jest rozwiązany na adres IP za pomocą DNS. Twój ISP zobaczymy żądanie DNS dla tej domeny i odpowiedź.

The ścieżka /data/abc.html jest wysyłane w żądaniu HTTP. Jeśli używasz HTTPS, to zostaną zaszyfrowane wraz z resztą żądania HTTP i odpowiedzi.

The ciąg zapytania ? to = to, jeśli występuje w adresie URL, jest wysyłane w żądaniu HTTP - wraz ze ścieżką. Więc jest również zaszyfrowany.

The fragment #tam, jeśli jest obecny, nie jest nigdzie wysyłany - jest interpretowany przez przeglądarkę (czasami przez JavaScript na zwróconej stronie).

Krótko mówiąc, wszystko po prawej stronie nazwy domeny jest szyfrowane przez sesję HTTPS i pozostaje niewidoczne dla twojego dostawcy Internetu lub kogokolwiek innego, kto podgląda twoje działania.

Czy masz coś do dodania do wyjaśnienia? Dźwięk w komentarzach. Chcesz przeczytać więcej odpowiedzi od innych użytkowników Stack Exchange, którzy znają się na technologii? Sprawdź cały wątek dyskusji tutaj.