Dapatkah Pihak Ketiga Membaca URL Lengkap Saat Menjelajah melalui HTTPS?

Ketika Anda dengan aman mengunjungi situs web melalui https: // data yang dikirim antara server dan browser Anda dienkripsi, tetapi bagaimana dengan URL yang Anda kunjungi di dalam situs? Dapatkah ISP Anda atau pengamat pihak ketiga lainnya melihat apa yang Anda lihat?

Sesi Tanya & Jawab hari ini hadir untuk memberi kami hak milik SuperUser-sub divisi Stack Exchange, pengelompokan situs web Q & A berbasis komunitas.

Pertanyaan

Pembaca SuperUser anonim ingin tahu apakah sesi penjelajahan mereka benar-benar aman:

Kita semua tahu bahwa HTTPS mengenkripsi koneksi antara komputer dan server sehingga tidak dapat dilihat oleh pihak ketiga. Namun, bisakah ISP atau pihak ketiga melihat tautan yang tepat dari halaman yang diakses pengguna?

Misalnya, saya mengunjungi:

https://www.website.com/data/abc.html

Akankah ISP mengetahui bahwa saya mengakses * / data / abc.html atau hanya mengetahui bahwa saya mengunjungi IP dari www.website.com?

Jika mereka tahu, lalu mengapa Wikipedia dan Google memiliki HTTPS ketika seseorang hanya dapat membaca log internet dan mencari tahu konten persis yang dilihat pengguna?

Sebuah pertanyaan menarik yang tentunya memiliki implikasi untuk privasi pribadi. Mari kita selidiki.

Jawabannya

Kontributor SuperUser Grawity menawarkan ikhtisar ringkas tentang bagaimana URL lengkap diproses sepanjang jalan:

Dari kiri ke kanan:

Itu skema https: jelas ditafsirkan oleh browser.

Itu nama domain www.website.com diselesaikan ke alamat IP menggunakan DNS. ISP Anda akan melihat permintaan DNS untuk domain ini, dan tanggapannya.

Itu jalan /data/abc.html dikirim dalam permintaan HTTP. Jika Anda menggunakan HTTPS, itu akan dienkripsi bersama dengan sisa permintaan dan tanggapan HTTP.

Itu string kueri ? ini = itu, jika ada di URL, dikirim dalam permintaan HTTP - bersama dengan jalurnya. Jadi itu juga dienkripsi.

Itu pecahan #sana, jika ada, tidak dikirim kemana-mana - itu ditafsirkan oleh browser (kadang-kadang oleh JavaScript pada halaman yang dikembalikan).

Singkatnya, semua yang ada di sebelah kanan nama domain dienkripsi oleh sesi HTTPS dan tetap tidak terlihat oleh ISP Anda atau orang lain yang mengintip dalam aktivitas Anda.

Memiliki sesuatu untuk ditambahkan ke penjelasan? Bicaralah di komentar. Ingin membaca lebih banyak jawaban dari pengguna Stack Exchange yang paham teknologi lainnya? Lihat diskusi lengkap di sini.