Если сайт защищен с помощью SSL, может ли сетевой анализатор по-прежнему считывать запрашиваемые URL-адреса?
Можно ли прослушивать URL-адреса, даже если клиент общается с сервером по протоколу SSL? Я спрашиваю, потому что я делаю удаленный вход в систему и перенаправляю на физически другой сервер через URL-адрес, и мне было интересно, если защита связи через SSL предотвратит атаки воспроизведения и тому подобное.
4 ответа
Анализатор будет знать IP (и, возможно, имя хоста) сервера, с которого вы запрашиваете, и время / количество передаваемой информации, но не более того.
Да, атака воспроизведения (и человека посередине) предотвращается с помощью SSL, если вы не доверяете скомпрометированному корневому сертификату.
Сетевому анализатору потребуется расшифровать трафик SSL как с открытым, так и с закрытым ключом.
Злоумышленник может наблюдать как имя хоста (отслеживая ваш трафик DNS), так и IP-адрес, к которому вы подключаетесь. Однако имя пользователя, пароль и путь к URL-адресу не должны быть доступны.
Конечно, клиент сам всегда имеет доступ к этой информации.
SSL устанавливает зашифрованный сеанс между двумя компьютерами, а затем запускает "обычный" HTTP по этому зашифрованному соединению, чтобы они могли видеть, к какой физической машине вы подключены, но кроме того, что вообще ничего не видно в вашем соединении.
Как уже говорили другие, они могут посмотреть на DNS-запросы, которые, скорее всего, определят имя хоста.
Также существуют продукты, которые обходят эту защиту в бизнес-среде, устанавливая новый корневой сертификат на клиентском компьютере и заставляя прокси-сервер устанавливать соединение от вашего имени, а затем генерируя "поддельный" сертификат для сайта, созданного с использованием их корневой ключ, чтобы сделать сеанс с браузером, чтобы у вас было защищенное SSL-соединение с сервером, но на самом деле это только для прокси. Вы можете посмотреть цепочку сертификатов для соединения, чтобы определить, происходит ли это, но мало кто будет беспокоиться.
Таким образом, чтобы ответить на ваш вопрос - нет, полный URL не может быть прослушан - но с доступом к клиентскому компьютеру это можно сделать частично.,