Um atacante pode capturar dados em um URL por HTTPS?

Question

Os dados incluídos em um URL podem ser considerados seguros se a conexão for feita por HTTPS? Por exemplo, se um usuário clicar em um link em um e-mail que aponte para o link , será possível que um invasor capture "mysecretstring" da URL?

    

Answer 1

Toda a solicitação (e resposta) HTTP é criptografada, incluindo o URL.

Mas sim, existe uma maneira de o atacante pegar o URL completo: através do cabeçalho Referer. Se houver algum arquivo externo (Javscript, CSS, etc.) que não seja HTTPS, o URL completo poderá ser sniffado no cabeçalho Referer. O mesmo se o usuário clicar em um link na página que leva a uma página HTTP (sem SSL).

Além disso, as solicitações de DNS não são criptografadas, portanto, um invasor pode saber que o usuário está indo para mysite.com.

    

Answer 2

Não, eles podem ver a conexão ie mysite.com mas não o? mysecretstring = 1234 o https é servidor para servidor

    

Answer 3

Eles precisariam ter a chave de criptografia. Teoricamente isso não é possível, mas qualquer bom ataque poderia. Este é o objetivo do SSL criptografar todos os dados enviados para e do servidor para evitar a detecção.

    

Answer 4

Mantenha seus weblogs seguros ou nem os escreva. Se você obtiver uma exploração remota em que os logs possam ser lidos, todos os dados da URL ficarão visíveis nos registros.

    

Answer 5

Apenas se eles conseguirem identificar a https auth por meio de algum tipo de spoofing