Dữ liệu POST có được mã hóa qua kết nối SSL không?


13

Tôi đã thiết lập máy chủ web của mình để sử dụng SSL (Tôi đang sử dụng WAMP cho kịch bản dàn dựng của mình trước khi tôi chuyển nó lên các máy chủ công cộng). Mục đích của trang web đã thành công và tôi có thể sử dụng trang web từ các máy tính từ xa bằng giao thức HTTPS.

Một mối quan tâm đến với một trong những người dùng của tôi (người thử nghiệm) liên quan đến dữ liệu POST. Trong kịch bản thử nghiệm của mình, anh ta có mặt tại một trong những khách hàng tiềm năng của chúng tôi, truy cập trang web đằng sau tường lửa công ty RẤT kén chọn của họ (chúng tôi đã tìm ra cách trang web này áp dụng cho AUP của họ và chúng tôi sạch sẽ). Anh ta đang điều hành trang web trong FireFox bằng cách sử dụng Fireorms để theo dõi dữ liệu POST và GET. Câu hỏi ở đây:

Trong cửa sổ Firebird của mình, POST và Phản hồi từ XMLHTTPRequest sẽ trở lại bằng văn bản thuần túy. Có phải vì anh là người khởi xướng kết nối an toàn? Dữ liệu POST / hồi đáp sẽ hiển thị cho quản trị viên hoặc nhật ký mạng?

Xin lưu ý rằng mục đích ở đây không phải là lừa dối quản trị viên hoặc phá vỡ chính sách; đây là một ứng dụng dành cho người tại chỗ tại nhiều địa điểm khác nhau cần truyền dữ liệu nhạy cảm. Việc sử dụng sẽ được phối hợp với mọi cơ sở hạ tầng mạng mà chúng ta gặp phải.


ngay cả url và chuỗi truy vấn cũng được mã hóa
Neil McGuigan

Là một thử nghiệm đơn giản và sử dụng đúng các công cụ đánh hơi, hãy sử dụng tshark / WireShark để lọc dựa trên http.request.uri và bạn thấy khi bạn làm việc với https thì không có gì để hiển thị. Mặt khác gửi cùng một yêu cầu qua http và bạn thấy mọi thứ.
Maziyar

Câu trả lời:


20

Có, dữ liệu POST nên được mã hóa. Mọi thứ trong yêu cầu HTTP phải được mã hóa trong cuộc hội thoại SSL. Fireorms có được thông tin của nó sau khi dữ liệu SSL đã được trình duyệt giải mã. Nếu bạn muốn đảm bảo, hãy sử dụng một cái gì đó như Fiddler hoặc WebScarab làm proxy ở giữa mặc dù bạn có thể phải chơi trò chơi để khiến chúng chơi độc đáo với SSL. Đây là một trang về cách giải mã lưu lượng HTTPS bằng Fiddler.


3
Nếu bạn nghi ngờ về mã hóa, hãy ném Wireshark vào máy khách và đánh hơi lưu lượng.
Evan Anderson

Tôi đã kiểm tra Fiddler và so sánh POSTS và GETS giữa dữ liệu HTTPS và HTTP và xác nhận rằng POSTS và GETS là an toàn. Cảm ơn!
Honus Wagner

@Evan Tôi nên tìm kiếm gì trên Wireshark?
Honus Wagner

3
@Honus: Bạn đang tìm rác :). Nếu dữ liệu không được mã hóa, bạn sẽ có thể nhìn thấy nó trong Wireshark. Nếu nó được mã hóa - bạn sẽ thấy dữ liệu được mã hóa (không thể đọc được).
Nắng

1
@Honus: Wireshark là một bộ phân tích gói để nó có thể / sẽ hiển thị cho bạn tất cả các gói đi qua dây. Bạn có khả năng xem tất cả lưu lượng truy cập mạng bất kể giao thức cấp ứng dụng. Có các bộ lọc (bao gồm một bộ lọc cho HTTP) cho phép bạn thu hẹp mọi thứ để dễ dàng nhìn thấy những gì bạn đang tìm kiếm.
squillman
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.