当前位置：首页 > 科技 > 软件

都用HTTPS了，还能被查出浏览记录？

来源：责编：时间：2023-08-09 23:01:33 346观看

导读大家好，我卡颂。最近，群里一个刚入职的小伙因为用公司电脑访问奇怪的网站，被约谈了。他很困惑 —— 访问的都是HTTPS的网站，公司咋知道他访问了啥？实际上，由于网络通信有很多层，即使加密通信，仍有很多途径暴露你的访问地址，比

大家好，我卡颂。

最近，群里一个刚入职的小伙因为用公司电脑访问奇怪的网站，被约谈了。他很困惑 —— 访问的都是HTTPS的网站，公司咋知道他访问了啥？

实际上，由于网络通信有很多层，即使加密通信，仍有很多途径暴露你的访问地址，比如：

DNS查询：通常DNS查询是不会加密的，所以，能看到你DNS查询的观察者（比如运营商）是可以推断出访问的网站
IP地址：如果一个网站的IP地址是独一无二的，那么只需看到目标 IP地址，就能推断出用户正在访问哪个网站。当然，这种方式对于多网站共享同一个IP地址（比如CDN）的情况不好使
流量分析：当访问一些网站的特定页面，可能导致特定大小和顺序的数据包，这种模式可能被用来识别访问的网站
cookies或其他存储：如果你的浏览器有某个网站的cookies，显然这代表你曾访问过该网站，其他存储信息（比如localStorage）同理

除此之外，还有很多方式可以直接、间接知道你的网站访问情况。

本文将聚焦在HTTPS协议本身，聊聊只考虑HTTPS协议的情况下，你的隐私是如何泄露的。

HTTPS简介

我们每天访问的网站大部分是基于HTTPS协议的，简单来说，HTTPS = HTTP + TLS，其中：

HTTP是一种应用层协议，用于在互联网上传输超文本（比如网页内容）。由于HTTP是明文传递，所以并不安全
TLS是一种安全协议。TLS在传输层对数据进行加密，确保任何敏感信息在两端（比如客户端和服务器）之间安全传输，不被第三方窃取或篡改

所以理论上，结合了HTTP和TLS特性的HTTPS，在数据传输过程是被加密的。但是，TLS建立连接的过程却不一定是加密的。

TLS的握手机制

当我们通过TLS传递加密的HTTP信息之前，需要先建立TLS连接，比如：

当用户首次访问一个HTTPS网站，浏览器开始查询网站服务器时，会发生TLS连接
当页面请求API时，会发生TLS连接

建立连接的过程被称为「TLS握手」，根据TLS版本不同，握手的步骤会有所区别。

但总体来说，「TLS握手」是为了达到三个目的：

协商协议和加密套件：通信的两端确认接下来使用的TLS版本及加密套件。
验证省份：为了防止“中间人”攻击，握手过程中，服务器会向客户端发送其证书，包含服务器公钥和证书授权中心（即CA）签名的身份信息。客户端可以使用这些信息验证服务器的身份。
生成会话密钥：生成用于「加密接下来数据传输」的密钥。

TLS握手机制的缺点

虽然TLS握手机制会建立安全的通信，但在握手初期，数据却是明文发送的，这就造成「隐私泄漏」的风险。

在握手初期，客户端、服务端会依次发送、接收对方的「打招呼信息」。首先，客户端会向服务端打招呼（发送「client hello信息」），该消息包含：

客户端支持的TLS版本
支持的加密套件
一串称为「客户端随机数」（client random）的随机字节
SNI等一些服务器信息

服务端接收到上述消息后，会向客户端打招呼（发送「server hello消息」），再回传一些信息。

其中，SNI（Server Name Indication，服务器名称指示）就包含了用户访问的网站域名。

那么，握手过程为什么要包含SNI呢？

这是因为，当多个网站托管在一台服务器上并共享一个IP地址，且每个网站都有自己的SSL证书时，那就没法通过IP地址判断客户端是想和哪个网站建立TLS连接，此时就需要「域名信息」辅助判断。

打个比方，快递员送货上门时，如果快递单只有收货的小区地址（IP地址），没有具体的门牌号（域名），那就没法将快递送到正确的客户手上（与正确的网站建立TLS连接）。

所以，SNI作为TLS的扩展，会在TLS握手时附带上域名信息。由于打招呼的过程是明文发送的，所以在建立HTTPS连接的过程中，中间人就能知道你访问的域名信息。

企业内部防火墙的访问控制和安全策略，就是通过分析SNI信息完成的。

虽然防火墙可能已经有授信的证书，但可以先分析SNI，根据域名情况再判断要不要进行深度检查，而不是对所有流量都进行深度检查

那么，这种情况下该如何保护个人隐私呢？

Encrypted ClientHello

Encrypted ClientHello[1]（ECH）是TLS1.3的一个扩展，用于加密Client Hello消息中的SNI等信息。

当用户访问一个启用ECH的服务器时，网管无法通过观察SNI来窥探域名信息。只有目标服务器才能解密ECH中的SNI，从而保护了用户的隐私。

当然，对于授信的防火墙还是不行，但可以增加检查的成本

开启ECH需要同时满足：

服务器支持TLS的ECH扩展
客户端支持ECH

比如，cloudflare SNI测试页[2]支持ECH扩展，当你的浏览器不支持ECH时，访问该网站sni会返回plaintext：

对于chrome，在chrome://flags/#encrypted-client-hello[3]中，配置ECH支持：

再访问上述网站，sni如果返回encrypted则代表支持ECH。

总结

虽然HTTPS连接本身是加密的，但在建立HTTPS的过程中（TLS握手），是有数据明文传输的，其中SNI中包含了服务器的域名信息。

虽然SNI信息的本意是解决「同一IP下部署多个网站，每个网站对应不同的SSL证书」，但也会泄漏「访问的网站地址」。

ECH通过对TLS握手过程中的敏感信息（主要是SNI）进行加密，为用户提供了更强的隐私保护。

参考资料

[1]Encrypted ClientHello:https://blog.cloudflare.com/encrypted-client-hello/。

[2]cloudflare SNI测试页:https://crypto.cloudflare.com/cdn-cgi/trace。

[3]chrome://flags/#encrypted-client-hello:chrome://flags/#encrypted-client-hello。

本文链接：//www.dmpip.com//www.dmpip.com/showinfo-26-5094-0.html都用HTTPS了，还能被查出浏览记录？

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇：无语！中国卖家为了清库存给美国一名女子寄了100多个亚马逊包裹

下一篇：八个 Visual Studio Code 扩展，提升软件开发生产力

标签：

热门焦点

消息称迪士尼要拍真人版《魔发奇缘》：女主可能也找黑人演员

8月5日消息，迪士尼确实有点忙，忙着将不少动画改成真人版，继《美人鱼》后，真人版《白雪公主》、《魔发奇缘》也在路上了。据外媒消息称，迪士尼将打造真人版
六大权益！华为8月服务日开启：手机免费贴膜、维修免人工费

8月5日消息，一年一度的华为开发者大会2023（Together）日前在松山湖拉开帷幕，与此同时，华为8月服务日也式开启，到店可享六大专属权益。华为用户可在华为商城Ap
K8S | Service服务发现

一、背景在微服务架构中，这里以开发环境「Dev」为基础来描述，在K8S集群中通常会开放：路由网关、注册中心、配置中心等相关服务，可以被集群外部访问；图片对于测试「Tes」环境或者
自动化在DevOps中的力量：简化软件开发和交付

自动化在DevOps中扮演着重要角色，它提升了DevOps的效能。通过自动化工具和方法，DevOps团队可以实现以下目标：消除手动和重复性任务。简化流程。在整个软件开发生命周期中实现更
腾讯盖楼，字节拆墙

来源 | 光子星球撰文 | 吴坤谚编辑 | 吴先之“想重温暴刷深渊、30+技能搭配暴搓到爽的游戏体验吗？一起上晶核，即刻暴打！”曾凭借直播腾讯旗下代理格斗游戏《DNF》一
重估百度丨大模型，能撑起百度的“今天”吗?

自象限原创作者｜程心罗辑2023年之前，对于自己的“今天”，百度也很迷茫。“新业务到 2022 年底还是 0，希望 2023 年出来一个 1。”这是2022年底，李彦宏
2纳米决战2025

集微网报道从三强争霸到四雄逐鹿，2nm的厮杀声已然隐约传来。无论是老牌劲旅台积电、三星，还是誓言重回先进制程领先地位的英特尔，甚至初成立不久的新
引领旗舰级影像能力向中端机普及 OPPO K11 系列发布 1799 元起

7月25日，OPPO正式发布K系列新品—— OPPO K11 。此次 K11 在中端手机市场长期被忽视的影像板块发力，突破性地搭载索尼 IMX890 旗舰大底主摄，支持 OIS
三翼鸟智能家居亮相电博会，让用户体验更真实

2021电博会在青岛国际会展中心开幕中，三翼鸟直接把“家”搬到了现场，成为了展会的一大看点。这也是三翼鸟继9月9日发布了行业首个一站式定制智慧家平台后的