Các bên thứ ba có thể đọc URL đầy đủ khi duyệt qua HTTPS không?

Khi bạn truy cập trang web một cách an toàn qua https: // dữ liệu được gửi giữa máy chủ và trình duyệt của bạn được mã hóa nhưng còn các URL bạn đang truy cập trong trang web thì sao? ISP của bạn hoặc người quan sát bên thứ ba khác có thể thấy những gì bạn đang xem không?

Phiên hỏi và trả lời hôm nay đến với chúng tôi nhờ sự hỗ trợ của SuperUser - một phân ngành của Stack Exchange, một nhóm các trang web Hỏi & Đáp do cộng đồng điều khiển.

Câu hỏi

Một người đọc SuperUser ẩn danh muốn biết liệu các phiên duyệt web của họ có hoàn toàn an toàn không:

Chúng ta đều biết rằng HTTPS mã hóa kết nối giữa máy tính và máy chủ để bên thứ ba không thể xem được. Tuy nhiên, ISP hoặc bên thứ ba có thể thấy liên kết chính xác của trang mà người dùng đã truy cập không?

Ví dụ: tôi truy cập:

https://www.website.com/data/abc.html

ISP sẽ biết rằng tôi đã truy cập * / data / abc.html hay chỉ biết rằng tôi đã truy cập IP của www.website.com?

Nếu họ biết thì tại sao Wikipedia và Google có HTTPS khi ai đó chỉ cần đọc nhật ký internet và tìm ra nội dung chính xác mà người dùng đã xem?

Một câu hỏi thú vị chắc chắn có ý nghĩa đối với quyền riêng tư cá nhân. Hãy điều tra.

Câu trả lời

Grawity đóng góp của SuperUser cung cấp một cái nhìn tổng quan rất súc tích về cách xử lý URL đầy đủ trên đường đi:

Từ trái sang phải:

Các lược đồ https: rõ ràng là được giải thích bởi trình duyệt.

Các tên miền www.website.com được phân giải thành địa chỉ IP bằng DNS. ISP của bạn sẽ thấy yêu cầu DNS cho tên miền này và phản hồi.

Các con đường /data/abc.html được gửi trong yêu cầu HTTP. Nếu bạn sử dụng HTTPS, nó sẽ được mã hóa cùng với phần còn lại của yêu cầu và phản hồi HTTP.

Các chuỗi truy vấn ?cái này = cái kia, nếu có trong URL, được gửi trong yêu cầu HTTP - cùng với đường dẫn. Vì vậy, nó cũng được mã hóa.

Các miếng # khác, nếu có, không được gửi ở bất cứ đâu - nó được trình duyệt giải thích (đôi khi bằng JavaScript trên trang trả về).

Nói tóm lại, mọi thứ ở bên phải của tên miền được mã hóa bởi phiên HTTPS và vẫn ẩn với ISP của bạn hoặc bất kỳ ai khác nhìn trộm trong các hoạt động của bạn.

Có một cái gì đó để thêm vào lời giải thích? Tắt âm thanh trong các ý kiến. Bạn muốn đọc thêm câu trả lời từ những người dùng Stack Exchange am hiểu công nghệ khác? Kiểm tra chủ đề thảo luận đầy đủ ở đây.