HTTPS esetén mit lát az ISP az url-ből?

Passzívan - szimplán csak a forgalmat monitorozva - csak annyit lát a HTTPS-kapcsolatból, hogy melyik domainnel kommunikálsz.

A forgalom további részletei - az URL-ben levő útvonal, az URL-ben küldött paraméterek, a fejlécek - már titkosítottak (a titkosítási privát kulcsot meg a webböngésző kezeli, ahhoz köztes fél, passzív módon nem fér hozzá).

Tegyél fel egy forgalommonitorozó szoftvert - például Wiresharkot ( [link] ) - indítsd el a forgalomfigyelést, majd nyiss meg egy HTTPS protokollt használó oldalt.

Ha szűröd a 443-as TCP portra menő és az onnan jövő forgalmat:

tcp.port == 443

illetve például a webszerver IP-címét - www.gyakorikerdesek.hu oldal esetén például:

ip.addr == 79.139.62.48

akkor csökkentheted a többi forgalom okozta "zajt".

Az Analyze --> Follow --> TCP-stream menüponttal meg végigkövetheted a teljes kommunikációt.

Aktívan - például proxy-t használva (ami felhasználói oldalról kiszűrhető), vagy a webböngésző privát kulcsát megszerezve - már láthatná a teljes forgalom titkosítatlan tartalmát, de azt az ISP adatvédelmi szabályok miatt nem teheti meg (nem is teszi, mivel nincs rá kötelezve, nincs rá erőforrása, illetve kisebb gondjuk is nagyobb annál hogy ezzel foglalkozzanak).

Miért nem nézed meg te magad?

Felraksz egy wiresharkot a gépedre és felveszed a műveletet, majd visszanézed az ip csomagok tartalmát.

A "www.google.com"-ot fogja látni. (Meg persze azt is hogy https://-en keresztül érted el.)

A HTTPS a teljes HTTP forgalmat titkosítja. A "www.google.com" rész viszont két helyen látható lesz titkosítatlanul:

- DNS lekérdezés (de már ez is elrejthető DNS over HTTPS/TLS-el)

- SNI a ClientHello-ban (de ha az Encrypted Client Hello bevezetésre kerül és elterjed, itt is el lesz rejtve)

Meg persze az IP cím is látszik, amiből kideríthető, hogy a Google webszerveréhez vagy csatlakozva, de ebből már nem feltétlen lehet minden esetben egyértelműen megmondani a domaint (különösen pl. ha egy Cloudflare CDN IP címre mutat). Ez csak közbeiktatott számítógép(ek)kel rejthető el, pl. VPN-el, de ekkor a VPN szolgáltató fogja látni ezeket.

#5 utolsó bekezdéséhez hozzátenném, hogy az aktív támadó (pl. ISP) általi kititkosítás ellen van az, hogy a böngésző érvénytelen tanúsítványra vonatkozó figyelmeztetést jelenít meg, mert egy támadó nem fogja tudni "www.google.com" domainre kiállított TLS tanúsítvánnyal alátámasztani, hogy tényleg ő a Google.