Können Dritte die vollständige URL beim Browsen über HTTPS lesen?

Wenn Sie eine Website sicher über https: // besuchen, werden die Daten, die zwischen dem Server und Ihrem Browser gesendet werden, verschlüsselt; Kann Ihr ISP oder ein anderer Beobachter sehen, was Sie sehen?

Die heutige Question & Answer-Sitzung wird dank SuperUser zur Verfügung gestellt - einer Unterteilung von Stack Exchange, einer Community-basierten Gruppierung von Q & A-Websites.

Die Frage

Ein anonymer SuperUser-Leser möchte wissen, ob seine Browsersitzungen absolut sicher sind:

Wir alle wissen, dass HTTPS die Verbindung zwischen dem Computer und dem Server verschlüsselt, sodass sie nicht von Dritten eingesehen werden kann. Kann der ISP oder ein Dritter jedoch den genauen Link der Seite sehen, auf die der Benutzer zugreift?

Zum Beispiel besuche ich:

https://www.website.com/data/abc.html

Kann der ISP wissen, dass ich auf * / data / abc.html zugegriffen habe, oder einfach weiß, dass ich die IP von www.website.com besucht habe??

Wenn sie wissen, warum haben Wikipedia und Google HTTPS, wenn jemand nur die Internetprotokolle lesen kann und den genauen Inhalt des Benutzers herausfinden kann?

Eine interessante Frage, die sicherlich Auswirkungen auf die Privatsphäre hat. Lass uns nachforschen.

Die Antwort

Der Superuser-Mitwirkende Grawity bietet einen sehr kurzen Überblick über die Verarbeitung der gesamten URL.

Von links nach rechts:

Das Schema https: wird offensichtlich vom Browser interpretiert.

Das Domänenname www.website.com wird mithilfe von DNS in eine IP-Adresse aufgelöst. Ihr ISP werden sehen die DNS-Anfrage für diese Domäne und die Antwort.

Das Pfad /data/abc.html wird in der HTTP-Anfrage gesendet. Wenn Sie HTTPS verwenden, dann wird verschlüsselt zusammen mit dem Rest der HTTP-Anfrage und Antwort.

Das Abfragezeichenfolge ?das = das, Wenn in der URL vorhanden, wird diese zusammen mit dem Pfad in der HTTP-Anforderung gesendet. Es ist also auch verschlüsselt.

Das Fragment #Dort, falls vorhanden, wird nirgendwohin gesendet - wird vom Browser interpretiert (manchmal von JavaScript auf der zurückgegebenen Seite).

Kurz gesagt, alles, was sich rechts neben dem Domainnamen befindet, wird durch die HTTPS-Sitzung verschlüsselt und bleibt für Ihren Internetdienstanbieter oder andere Personen, die Ihre Aktivitäten verfolgen, unsichtbar.

Haben Sie der Erklärung etwas hinzuzufügen? Ton aus in den Kommentaren. Möchten Sie mehr Antworten von anderen technisch versierten Stack Exchange-Benutzern lesen? Hier geht es zum vollständigen Diskussionsthread.