Contanto que a confiança da autoridade de certificação e o sistema e o servidor de destino não tenham sido comprometidos, sua conexão com um servidor https (com qualquer número de intermediários) nunca deve estar em risco de sniffing ou modificação.
Possíveis invasores externos:
- Seu ISP
- Alguém na sua rede
- O proprietário do proxy
Vetores de ataque:
A sua consulta DNS provavelmente será enviada sem criptografia (a menos que você tenha configurado o DNSCrypt ou algo semelhante), para que um invasor possa informar o IP e o domínio que você está conectando.
Contanto que a cadeia de confiança do certificado não seja quebrada (por exemplo, alguém instalando um certificado de AC não autorizado no seu computador ou comprometendo uma CA raiz), seu navegador informará se alguém lhe forneceu um certificado inválido. Contanto que você tenha o certificado correto, o tráfego estará praticamente seguro - alguém poderá adivinhar o número e o tamanho dos URLs solicitados, mas o conteúdo ficará bem oculto.
A cadeia de confiança pode ser quebrada se:
- Seu navegador diz "este site não é seguro" e você clica em uma substituição de qualquer maneira.
- A autoridade de certificação emite certificados sem verificar a propriedade do site.
- Seu computador foi invadido (mas neste ponto você está ferrado por privacidade, não importa o que aconteça).
- O site de destino foi invadido. O invasor terá a chave privada do certificado e poderá decodificar o fluxo criptografado, além de fingir ser o alvo.