https - SSL 连接泄露了多少数据？

Question

假设我正在尝试访问 https://www.secretplace.com/really/really/secret.php，在建立 SSL session 之前实际发送的纯文本是什么？

浏览器是否干预，看到我想要 https，启动与 secretplace.com 的 SSL session (即不传递纯文本路径)并且仅在 SSL session 设置后传递路径？

只是好奇。

Answer 1

HTTP Secure

保护级别取决于网络浏览器和服务器软件实现的正确性以及支持的实际加密算法。

此外，HTTPS 在应用于公开可用的静态内容时容易受到攻击。可以使用网络爬虫对整个站点进行索引，并且可以通过仅知道拦截的请求/响应大小来推断加密资源的 URI。这允许攻击者访问明文(公开可用的静态内容)和加密文本(静态内容的加密版本)，从而允许进行密码攻击。

由于 SSL 在 HTTP 下运行并且不了解更高级别的协议(protocol)，因此 SSL 服务器只能严格地为特定 IP/端口组合提供一个证书。这意味着，在大多数情况下，通过 HTTPS 使用基于名称的虚拟主机是不可行的。存在一个称为服务器名称指示 (SNI) 的解决方案，它在加密连接之前将主机名发送到服务器，尽管许多旧浏览器不支持此扩展。自 Windows Vista 上的 Firefox 2、Opera 8 和 Internet Explorer 7 开始支持 SNI。