Могут ли третьи лица читать полный URL при просмотре через HTTPS?

Когда вы безопасно заходите на сайт через https: // данные, передаваемые между сервером и вашим браузером, зашифрованы, но как насчет URL, которые вы посещаете на сайте? Может ли ваш провайдер или другой сторонний наблюдатель увидеть, на что вы смотрите??

Сегодняшняя сессия вопросов и ответов пришла к нам благодаря SuperUser - подразделению Stack Exchange, группе веб-сайтов вопросов и ответов, управляемой сообществом..

Вопрос

Анонимный читатель SuperUser хочет знать, полностью ли безопасны его сеансы просмотра:

Все мы знаем, что HTTPS зашифровывает соединение между компьютером и сервером, поэтому третьи лица не могут просматривать его. Однако может ли интернет-провайдер или третье лицо увидеть точную ссылку на страницу, на которую пользователь зашел?

Например, я посещаю:

https://www.website.com/data/abc.html

Узнает ли интернет-провайдер, что я получил доступ * / data / abc.html, или просто узнаю, что я посетил IP-адрес www.website.com??

Если они знают, то почему в Википедии и Google есть HTTPS, когда кто-то может просто прочитать интернет-логи и узнать точное содержимое, просмотренное пользователем?

Интересный вопрос, который, безусловно, имеет значение для личной жизни. Давайте исследуем.

Ответ

Участник SuperUser Grawity предлагает очень краткий обзор того, как обрабатывается полный URL:

Слева направо:

схема https: очевидно, интерпретируется браузером.

доменное имя www.website.com разрешается на IP-адрес с использованием DNS. Ваш провайдер увидим запрос DNS для этого домена и ответ.

дорожка /data/abc.html отправляется в запросе HTTP. Если вы используете HTTPS, это будет зашифрован вместе с остальной частью HTTP-запроса и ответа.

Строка запроса ?это = что, если присутствует в URL, отправляется в HTTP-запросе - вместе с путем. Так что это также зашифровано.

фрагмент #там, если присутствует, никуда не отправляется - он интерпретируется браузером (иногда JavaScript на возвращаемой странице).

Короче говоря, все, что находится справа от имени домена, зашифровано сеансом HTTPS и остается невидимым для вашего интернет-провайдера или кого-либо еще, кто следит за вашими действиями..

Есть что добавить к объяснению? Звук выключен в комментариях. Хотите узнать больше ответов от других технически подкованных пользователей Stack Exchange? Ознакомьтесь с полным обсуждением здесь.