HTTPS响应正文 - 它是否安全？

Question

想了解Response的HTTPS主体部分是否已加密。此外，在HTTPS请求中，标头是否以纯文本/加密方式传输？

是否有任何工具可以观察原始HTTPS流量而无需解密。

Answer 1

HTTPS是基于SSL的HTTP。所以整个HTTP通信都是加密的。

Answer 2

是https流程已加密。初始化https连接时，它使用强加密算法进行握手，并与其他部分达成协议，以便对流程的强度较低但速度更快的加密算法。

要观察网络数据包，您可以使用http://www.ethereal.com/之类的嗅探器。

Answer 3

正如其他帖子所说 - HTTPS是在TCP / IP层之上的SSL中包装的HTTP（明文）。 HTTP消息的每个部分都是加密的。所以堆栈看起来像：

TCP / IP

---

SSL

---

HTTP

就加密而言，无法在其周围看到带有SSL的HTTP消息的任何部分。

如果您需要调试流量，我建议如下：

• 使用网络流量观察器（如Ethereal）观察连接的创建。这将让您看到启动连接。它将向您显示SSL握手的开始，有关失败的详细信息，以及会话设置何时会有密文链。密文不是很有用，但它的存在可以让你知道数据是来回传递的。
• 在设置HTTPS之前，清除您的http图层。我曾经使用的每个应用程序或Web服务器都让我关闭HTTPS，并以明文形式托管同一组URL。这样做，并使用相同的网络工具观看它。
• 如果你让双方都与HTTP交谈并且所有内容都在HTTPS上中断，那么现在是时候查看SSL会话建立或两个点之间可能正在中断流的任何事情。

Answer 4

通过https发送的任何内容都使用SSL传输加密

尝试使用WireShark或Fiddler作为有用的工具。

Answer 5

使用HTTPS时，请求和回复的全部内容都会被加密，包括标题和正文。明文中的HTTP协议发生在TLS or SSL之上，因此线路上的内容是加密的。

Answer 6

整个HTTP会话都经过加密，包括标题和正文。

任何数据包嗅探器都应该能够向您显示原始流量，但对于没有深入了解SSL的人来说，它只是看起来像是随机字节，即便如此，您也不会看到密钥交换作为第三个方。

Answer 7

任何数据包捕获/嗅探工具都可以显示原始HTTPS流量。要查看实际内容（通过解密），请使用Fiddler。