O SSL usa duas chaves, uma privada e outra pública. Apenas a chave pública é enviada e essa chave não tem valor, a menos que você conheça a chave privada.
Cada parte está criptografando os dados que envia com a chave pública do outro (isso é um pouco mais complexo, mas você entendeu). Somente o destinatário pode (facilmente) decodificar o tráfego.
Isso significa que o sniffing de tráfego não é um grande problema, embora, é claro, os ataques de força bruta estejam dependendo do tamanho da chave e do algoritmo usado.
Os ataques do meio do grupo com base na interceptação de tráfego e na substituição do servidor representam um risco maior, mas normalmente são impedidos pelo uso de autoridades de certificação confiáveis. No entanto, ele seria derrotado se você ignorasse os avisos exibidos pelo seu navegador quando um certificado do servidor não estivesse correspondendo ao nome do site ou não tivesse sido emitido por uma cadeia confiável de autoridades (por exemplo: certificado autoassinado).