HTTPS标头是否已加密？

通过HTTPS发送数据时,我知道内容已加密,但我听到有关标头是否已加密或标头加密程度的混合答案.

有多少HTTPS标头已加密？

包括GET/POST请求URL,Cookie等.

1> Greg..：

---

整个批次都是加密的^† - 所有标题.这就是为什么SSL on vhosts工作得不好 - 你需要一个专用的IP地址,因为主机头是加密的.

^†服务器名称标识(SNI)标准表示如果您使用TLS,主机名可能不会被加密.此外,无论您是否使用SNI,TCP和IP标头都不会加密.(如果是,您的数据包将无法路由.)

---

@Teddu你的意思是"URL本身没有加密." 它是加密的,因为它是标题的一部分.

---

@Greg,由于vhost网关已获得授权,网关无法解密它们,观察主机头,然后确定将数据包发送到哪个主机？

2> mdb..：

---

标头完全加密.通过网络"清除"的唯一信息与SSL设置和D/H密钥交换有关.此交换经过精心设计,不会向窃听者提供任何有用的信息,一旦发生,所有数据都会被加密.

---

有点迂腐:客户端和服务器的IP地址,服务器的主机名以及有关其SSL实现的信号对窃听者很有用,并且是可见的.

---

并非所有SSL设置都涉及DH

3> Andrew Jenni..：

---

对旧问题的新答案,对不起.我以为我会加我的$ .02

OP询问标题是否已加密.

他们是:在途中.

他们不是:不在途中.

因此,您的浏览器的URL(以及标题,在某些情况下)可以显示查询字符串(通常包含最敏感的详细信息)和标题中的一些详细信息; 浏览器知道一些标题信息(内容类型,unicode等); 和浏览器历史记录,密码管理,收藏夹/书签和缓存页面都将包含查询字符串.远程端的服务器日志还可以包含查询字符串以及一些内容详细信息.

此外,URL并不总是安全的:域,协议和端口是可见的 - 否则路由器不知道将请求发送到何处.

此外,如果您有HTTP代理,代理服务器知道地址,通常他们不知道完整的查询字符串.

因此,如果数据正在移动,则通常会受到保护.如果它没有传输,则不加密.

不要挑选,但最后的数据也是解密的,可以随意解析,读取,保存,转发或丢弃.并且,任何一端的恶意软件都可以获取进入(或退出)SSL协议的数据的快照 - 例如(在HTML内部的页面内的(坏)Javascript,它可以偷偷地对登录网站进行http(或https)调用(因为访问本地硬盘)通常是受限制的,没有用处).

此外,Cookie也不会在HTTPS协议下加密.希望将敏感数据存储在cookie中(或其他任何地方)的开发人员需要使用自己的加密机制.

至于缓存,大多数现代浏览器都不会缓存HTTPS页面,但这个事实不是由HTTPS协议定义的,它完全依赖于浏览器的开发者,以确保不缓存通过HTTPS接收的页面.

所以如果你担心数据包嗅探,你可能还可以.但是,如果您担心恶意软件或者有人在浏览您的历史记录,书签,Cookie或缓存,那么您还没有脱离困境.

---

我知道好的答案是最重要的,但这又一次插入*错误*信息.除非使用SNI,否则域*不可见.除IP和TCP之外的协议*不可见.您无法判断我是使用HTTP 1.1,SPDY还是HTTP2.在两个端点上可见的内容是无关紧要的,因为加密的目标不是使事物*不可见*而是使事物*仅对可信方*可见*.因此,问题中隐含了端点,并且可以删除大约2/3的答案.代理信息应该是:如果您使用HTTPS代理,那么它*可以访问所有内容*.

---

您的链接特别指出Cookie已加密:"访问者的连接已加密,模糊了网址,Cookie和其他敏感元数据."

---

@DylanYoung SSL =安全**套接字**层; TLS =**传输**层安全性.加密是在套接字(连接)级别,或者在传输级别上进行另一种方式,而不是在每个域数据库的浏览器中存储.

4> AviD..：

---

HTTP版本1.1添加了一个特殊的HTTP方法CONNECT--旨在创建SSL隧道,包括必要的协议握手和加密设置.
此后的常规请求将全部包含在SSL隧道,包含标头和正文中.

5> blowdart..：

---

使用SSL时,加密处于传输级别,因此它在发送请求之前发生.

所以请求中的所有内容都是加密的.

6> CMS..：

---

HTTPS(HTTP over SSL)通过SSL tunel发送所有HTTP内容,因此HTTP内容和标头也会被加密.

7> keypress..：

---

是的,标题是加密的.它写在这里.

HTTPS消息中的所有内容都已加密,包括标头和请求/响应负载.

---

维基百科不是规范,这是你应该引用的.

8> 小智..：

---

URL也是加密的,你真的只有IP,端口和SNI,主机名是未加密的.