Ist bei HTTPS die URL verschlüsselt?

Das könnte Dich auch interessieren …

7 Antworten

  1. unkreativ sagt:

    Wenn die URL verschlüsselt wird, warum sieht man diese dann bei einem MITM Angriff? Denn wenn die URL bei einem MITM Angriff angezeigt wird, dann sieht der Provider die URL auch.

    • ja und zwar bevor es zur verschlüsselten Kommunikation kommt. Client und Server müssen die Schlüssel austauschen um die verschlüsselten Daten wieder entschlüsseln können und das wird über einen vertrauenswürdigen Dritten gemacht – deswegen des Zertifikat. Ein Angreifer kann das entweder beim Endpunkt über beispielsweise Maleware abfangen oder er bekommt das direkt von der Zertifizierungsstelle. Durch Fehler in der Software kann es dann auch noch zu Problemen kommen, man denke an Poodle. In jedem Fall ist zu achten, dass das Zertifikat das TLS 1.2 Protokoll unterstützt. Alte Versionen (TLS 1.1, TLS 1.0 und SSL 3.0) gelten als unsicher.

      • K. sagt:

        Bei einer MITM-Attacke wird der (nicht ‚“die“) URL erst gar nicht übertragen – eben da keine verschlüsselte Verbindung aufgebaut werden kann. Der Browser warnt den Benutzer vor Übermittlung des URLs, dass die Verbindung nicht sicher ist. Verschafft sich der Angreifer das Zertifikat, dann sieht das freilich anders aus.

  2. garly sagt:

    Da fehlt etwas im Artikel bzw. es hat sich ein Fehler eingeschlichen.
    „Wird die Leitung also beispielsweise von deinem Provider abgehört, dann kann dieser aus den verschlüsselten Datenpaketen nicht herauslesen, welche URLs du aufrufst.“
    „Dein Provider kennt somit anhand der Paketdaten lediglich an welche IP Adresse er dieses weiterleiten soll. Meist laufen unter einer IP Adresse viele Domains. Der Provider weiß nur, dass mit der im Paket stehenden IP Adresse kommuniziert wird.“

    Kurzes Szenario um meine Vermutung zu verdeutlichen: Ich gebe im Browser die Adresse https://www.google.de ein.

    Woher weiß der Browser jetzt, auf welche IP er zugreifen soll? Die Information geht an einen DNS Server. Hier bin ich mir unsicher, wie die Kommunikation jetzt erfolgt. Eine kurze Befragung von Wikipedia besagt, dass das aktuell unverschlüsselt passiert. Falls dem so ist, so wird mindestens die Domain unverschlüsselt übertragen.

    „Die URL die man aufruft ist nämlich ebenfalls verschlüsselt.“
    Jetzt bleibt die Frage, welche Informationen wirklich in Summe unverschlüsselt übertragen werden.

  3. Franz sagt:

    Zur Namensauflösung wird nur der Hostname an den DNS-Server übermittelt (also http://www.google.com), dieser gibt die IP-Nummer zurück, die dann für die Paketübermittlung verwendet wird. Im IP-Header befindet sich kein Hinweis mehr auf den Namen, dieser befindet sich, nachdem die Verschlüsselung etabliert ist, nur mehr in den Daten (im sog. HTTP-Header, der dann vom Webserver ausgewertet wird)

  4. Franz sagt:

    PS: Die Kommentarsoftware hat in meinem Kommentar beim Hostnamen ein http vorangestellt. Das wird natürlich nicht an den DNS- Server mitgeschickt!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.