您当前的位置:首页 > 电脑百科 > 站长技术 > 网站

都用HTTPS了,还能被查出浏览记录?

时间:2023-08-09 13:25:27  来源:  作者:魔术师卡颂

最近,群里一个刚入职的小伙因为用公司电脑访问奇怪的网站,被约谈了。他很困惑 —— 访问的都是HTTPS的网站,公司咋知道他访问了啥?

实际上,由于网络通信有很多层,即使加密通信,仍有很多途径暴露你的访问地址,比如:

  • DNS查询:通常DNS查询是不会加密的,所以,能看到你DNS查询的观察者(比如运营商)是可以推断出访问的网站

  • IP地址:如果一个网站的IP地址是独一无二的,那么只需看到目标 IP地址,就能推断出用户正在访问哪个网站。当然,这种方式对于多网站共享同一个IP地址(比如CDN)的情况不好使

  • 流量分析:当访问一些网站的特定页面,可能导致特定大小和顺序的数据包,这种模式可能被用来识别访问的网站

  • cookies或其他存储:如果你的浏览器有某个网站的cookies,显然这代表你曾访问过该网站,其他存储信息(比如localStorage)同理

除此之外,还有很多方式可以直接、间接知道你的网站访问情况。

本文将聚焦在HTTPS协议本身,聊聊只考虑HTTPS协议的情况下,你的隐私是如何泄露的。

HTTPS简介

我们每天访问的网站大部分是基于HTTPS协议的,简单来说,HTTPS = HTTP + TLS,其中:

  • HTTP是一种应用层协议,用于在互联网上传输超文本(比如网页内容)。由于HTTP是明文传递,所以并不安全

  • TLS是一种安全协议。TLS在传输层对数据进行加密,确保任何敏感信息在两端(比如客户端和服务器)之间安全传输,不被第三方窃取或篡改

所以理论上,结合了HTTPTLS特性的HTTPS,在数据传输过程是被加密的。但是,TLS建立连接的过程却不一定是加密的。

TLS的握手机

当我们通过TLS传递加密的HTTP信息之前,需要先建立TLS连接,比如:

  • 当用户首次访问一个HTTPS网站,浏览器开始查询网站服务器时,会发生TLS连接

  • 当页面请求API时,会发生TLS连接

建立连接的过程被称为「TLS握手」,根据TLS版本不同,握手的步骤会有所区别。

但总体来说,「TLS握手」是为了达到三个目的:

  1. 协商协议和加密套件:通信的两端确认接下来使用的TLS版本及加密套件

  2. 验证省份:为了防止“中间人”攻击,握手过程中,服务器会向客户端发送其证书,包含服务器公钥和证书授权中心(即CA)签名的身份信息。客户端可以使用这些信息验证服务器的身份

  3. 生成会话密钥:生成用于「加密接下来数据传输」的密钥

TLS握手机制的缺点

虽然TLS握手机制会建立安全的通信,但在握手初期,数据却是明文发送的,这就造成「隐私泄漏」的风险。

在握手初期,客户端、服务端会依次发送、接收对方的「打招呼信息」。首先,客户端会向服务端打招呼(发送「client hello信息」),该消息包含:

  • 客户端支持的TLS版本

  • 支持的加密套件

  • 一串称为「客户端随机数」client random)的随机字节

  • SNI等一些服务器信息

服务端接收到上述消息后,会向客户端打招呼(发送「server hello消息」),再回传一些信息。

其中,SNIServer Name Indication,服务器名称指示)就包含了用户访问的网站域名。

那么,握手过程为什么要包含SNI呢?

这是因为,当多个网站托管在一台服务器上并共享一个IP地址,且每个网站都有自己的SSL证书时,那就没法通过IP地址判断客户端是想和哪个网站建立TLS连接,此时就需要「域名信息」辅助判断。

打个比方,快递员送货上门时,如果快递单只有收货的小区地址(IP地址),没有具体的门牌号(域名),那就没法将快递送到正确的客户手上(与正确的网站建立TLS连接)。

所以,SNI作为TLS的扩展,会在TLS握手时附带上域名信息。由于打招呼的过程是明文发送的,所以在建立HTTPS连接的过程中,中间人就能知道你访问的域名信息。

企业内部防火墙的访问控制和安全策略,就是通过分析SNI信息完成的。

虽然防火墙可能已经有授信的证书,但可以先分析SNI,根据域名情况再判断要不要进行深度检查,而不是对所有流量都进行深度检查

那么,这种情况下该如何保护个人隐私呢?

Encrypted ClientHello

Encrypted ClientHello[1]ECH)是TLS1.3的一个扩展,用于加密Client Hello消息中的SNI等信息。

当用户访问一个启用ECH的服务器时,网管无法通过观察SNI来窥探域名信息。只有目标服务器才能解密ECH中的SNI,从而保护了用户的隐私。

当然,对于授信的防火墙还是不行,但可以增加检查的成本

开启ECH需要同时满足:

  • 服务器支持TLSECH扩展

  • 客户端支持ECH

比如,cloudflare SNI测试页[2]支持ECH扩展,当你的浏览器不支持ECH时,访问该网站sni会返回plAIntext

对于chrome,在chrome://flags/#encrypted-client-hello[3]中,配置ECH支持:

再访问上述网站,sni如果返回encrypted则代表支持ECH

总结

虽然HTTPS连接本身是加密的,但在建立HTTPS的过程中(TLS握手),是有数据明文传输的,其中SNI中包含了服务器的域名信息。

虽然SNI信息的本意是解决「同一IP下部署多个网站,每个网站对应不同的SSL证书」,但也会泄漏「访问的网站地址」

ECH通过对TLS握手过程中的敏感信息(主要是SNI)进行加密,为用户提供了更强的隐私保护。

参考资料

[1]Encrypted ClientHello:https://blog.cloudflare.com/encrypted-client-hello/
[2]cloudflare SNI测试页:https://crypto.cloudflare.com/cdn-cgi/trace
[3]chrome://flags/#encrypted-client-hello:chrome://flags/#encrypted-client-hello


Tags:HTTPS   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,不构成投资建议。投资者据此操作,风险自担。如有任何标注错误或版权侵犯请与我们联系,我们将及时更正、删除。
▌相关推荐
HTTPS网站怎么实现
HTTP协议迁移到HTTPS,以提供更加安全的网络环境并增强用户信任。那么,如何将一个使用HTTP的网站安全升级到HTTPS呢?我们需要理解HTTP和HTTPS的区别。HTTP,即超文本传输协议,是一...【详细内容】
2024-03-27  Search: HTTPS  点击:(6)  评论:(0)  加入收藏
HTTPS采用高安全的TLS加密,可为什么Fiddler抓到HTTPS包能解密?
在网络安全领域,加密算法是确保数据传输安全的一部分,但TLS(传输层安全协议)的重要性远不止于此。它构建了一个更高层次的安全体系,涵盖了比简单加密更广泛、更深层次的安全考量...【详细内容】
2024-02-19  Search: HTTPS  点击:(43)  评论:(0)  加入收藏
网站如何启用HTTPS安全访问方式?
HTTPS(全称为Hyper Text Transfer Protocol Secure)是一种在计算机网络上进行安全通信的协议,它通过SSL/TLS证书对传输数据进行加密,确保了用户与服务器之间信息交换的私密性和...【详细内容】
2024-01-17  Search: HTTPS  点击:(67)  评论:(0)  加入收藏
实现网站HTTPS访问方式
首先我们需要了解HTTPS 并不是一个全新的协议,而是在 HTTP 的基础上,通过 SSL 增加了一层加密协议,从而大大增加了 HTTP 协议的安全性。HTTPS主要由两部分组成:HTTP(超文本传输...【详细内容】
2024-01-10  Search: HTTPS  点击:(87)  评论:(0)  加入收藏
网站付费https证书和免费证书区别
网站付费https证书和免费https证书有什么区别呢?有免费https证书为什么还要选择付费https证书呢?首先,我们来回答“有免费https证书为什么还要选择付费https证书呢?”按道理来说...【详细内容】
2023-12-13  Search: HTTPS  点击:(143)  评论:(0)  加入收藏
HTTPS加密协议,你会多少?
什么是HTTPS?HTTPS是超文本传输协议(HTTP)的安全版本。它通过使用安全套接层协议(SSL)或传输层安全协议(TLS)来加密通信内容,确保数据在客户端和服务器之间传输时得到保护。这种加密...【详细内容】
2023-12-08  Search: HTTPS  点击:(108)  评论:(0)  加入收藏
五分钟让你搞懂 Http 和 Https 协议的区别是什么?
在互联网世界中,HTTP和HTTPS是我们日常接触最多的两个协议,它们在数据传输、安全性上存在重要区别。 无需花费太多时间,让我们简洁明了地了解HTTP和HTTPS的关键差异,为你揭开网...【详细内容】
2023-12-06  Search: HTTPS  点击:(153)  评论:(0)  加入收藏
HTTP 和 HTTPS 之间除了安全性区别外,还有哪些区别
HTTP 和 HTTPS 是两种常见的网络协议,它们都是用于在浏览器和服务器之间传输数据的。但是,它们之间也有一些重要的区别,这些区别涉及到数据的安全性、传输性能、使用成本和搜索...【详细内容】
2023-11-27  Search: HTTPS  点击:(238)  评论:(0)  加入收藏
Http不转换成Https会有什么后果?
自从互联网诞生以来,大家一开始接触的就是http站点,类似于http://+域名,看习惯了也用习惯了。不过,随着人们网络安全意识的提高,越来越多的http站点已经被https站点所替代,逐年在...【详细内容】
2023-11-27  Search: HTTPS  点击:(131)  评论:(0)  加入收藏
网站迁移到HTTPS,如何避免内容重复?
我们常说安装SSL证书不是件难事,但将网站迁移到HTTPS的过程却不那么容易。你不是真的在重新建立一个网站,但如果出了差错,百度会误认为这是个新网站,还可能判定你的网站内容重复...【详细内容】
2023-11-24  Search: HTTPS  点击:(110)  评论:(0)  加入收藏
▌简易百科推荐
访问网站显示不安全是什么原因?怎么解决?
访问网站时显示“不安全”,主要原因以及解决办法: 1.没用HTTPS加密:网站还在用老的HTTP协议,数据传输没加密,容易被人偷看或篡改。解决办法是网站管理员启用HTTPS,也就是给网站装...【详细内容】
2024-04-08  JOYSSL爆爆    Tags:网站   点击:(4)  评论:(0)  加入收藏
SSL证书过期后网站还能正常访问吗
当SSL证书过期后,尽管网站的服务器仍然可以处理请求并提供服务,但是浏览器会在尝试建立安全连接时检测到证书已过期,并显示警告信息告知用户该网站的安全证书已过期。这会严重...【详细内容】
2024-03-27    见方天地  Tags:SSL证书   点击:(11)  评论:(0)  加入收藏
HTTPS网站怎么实现
HTTP协议迁移到HTTPS,以提供更加安全的网络环境并增强用户信任。那么,如何将一个使用HTTP的网站安全升级到HTTPS呢?我们需要理解HTTP和HTTPS的区别。HTTP,即超文本传输协议,是一...【详细内容】
2024-03-27  倏然间    Tags:HTTPS   点击:(6)  评论:(0)  加入收藏
SSL证书即将过期,不更新可以吗?
SSL证书是用来保护网站数据传输安全的重要工具,通过数据加密和身份认证两大功能,为网站提供了一个安全、可信的网络环境。由正规CA机构所颁发的SSL证书都具有一定的使用期限,通...【详细内容】
2024-03-27  帝恩思DNS    Tags:SSL证书   点击:(7)  评论:(0)  加入收藏
网站运营的好与坏主要决定因素是内容与seo优化
在这个信息爆炸的时代,网站如雨后春笋般涌现,如何在众多网站中脱颖而出,吸引更多的访问者,成为了每一个网站运营者关心的问题。我们不禁要问,是什么决定了网站运营的好与坏呢?答案...【详细内容】
2024-03-26  易华合讯    Tags:网站运营   点击:(9)  评论:(0)  加入收藏
网站制作不再难:小白也能上手的建站教程
在互联网高速发展的时代,网站已成为企业、个人展示自身形象和实力的重要窗口。过去,网站制作对于许多人来说是一项技术活,需要专业的知识和经验。但随着技术的进步,现在即便是没...【详细内容】
2024-03-24  一度旭展互联网科技    Tags:网站制作   点击:(5)  评论:(0)  加入收藏
想建个网站赚钱?先来看看这篇建站指南吧
随着互联网的飞速发展,越来越多的人希望通过建立自己的网站来实现创业梦想或者赚取额外的收入。但建站并非一蹴而就的简单事情,它需要综合策划、设计、技术和运营等多方面的知...【详细内容】
2024-03-21  一度旭展互联网科技    Tags:网站   点击:(4)  评论:(0)  加入收藏
个人站长的出路在哪?
个人站长的出路在于不断适应互联网的发展趋势,积极寻求创新和变革。以下是一些个人站长可以考虑的出路: 转型为内容创作者:随着内容营销的兴起,越来越多的企业和个人开始注重内...【详细内容】
2024-02-29    简易百科  Tags:个人站长   点击:(39)  评论:(0)  加入收藏
网络环境和用户需求不断变化,个人站长该怎么办?
个人站长是一个相对特殊的群体,他们通常以个人身份独立运营网站,没有大型企业或组织的支持。由于缺乏资源和大企业的光环,个人站长需要更加注重策略和技巧,才能在竞争激烈的网络...【详细内容】
2024-02-29    简易百科  Tags:个人站长   点击:(33)  评论:(0)  加入收藏
AI时代 个人站长还有出路吗?
AI时代,个人站长依然有出路,但需要进行一些调整和转型。首先,利用AI工具可以帮助个人站长提高效率和产出质量。例如,利用AI进行内容创作、智能推荐、用户画像分析等,可以大大提升...【详细内容】
2024-02-29    简易百科  Tags:个人站长   点击:(43)  评论:(0)  加入收藏
站内最新
站内热门
站内头条