大家好，我卡颂。
最近，群里一个刚入职的小伙因为用公司电脑访问奇怪的网站，被约谈了。他很困惑 —— 访问的都是HTTPS的网站，公司咋知道他访问了啥？
实际上，由于网络通信有很多层，即使加密通信，仍有很多途径暴露你的访问地址，比如：
除此之外，还有很多方式可以直接、间接知道你的网站访问情况。
本文将聚焦在HTTPS协议本身，聊聊只考虑HTTPS协议的情况下，你的隐私是如何泄露的。
我们每天访问的网站大部分是基于HTTPS协议的，简单来说，HTTPS = HTTP + TLS，其中：
所以理论上，结合了HTTP和TLS特性的HTTPS，在数据传输过程是被加密的。但是，TLS建立连接的过程却不一定是加密的。
当我们通过TLS传递加密的HTTP信息之前，需要先建立TLS连接，比如：
建立连接的过程被称为「TLS握手」，根据TLS版本不同，握手的步骤会有所区别。
但总体来说，「TLS握手」是为了达到三个目的：
虽然TLS握手机制会建立安全的通信，但在握手初期，数据却是明文发送的，这就造成「隐私泄漏」的风险。
在握手初期，客户端、服务端会依次发送、接收对方的「打招呼信息」。首先，客户端会向服务端打招呼（发送「client hello信息」），该消息包含：
服务端接收到上述消息后，会向客户端打招呼（发送「server hello消息」），再回传一些信息。
其中，SNI（Server Name Indication，服务器名称指示）就包含了用户访问的网站域名。
那么，握手过程为什么要包含SNI呢？
这是因为，当多个网站托管在一台服务器上并共享一个IP地址，且每个网站都有自己的SSL证书时，那就没法通过IP地址判断客户端是想和哪个网站建立TLS连接，此时就需要「域名信息」辅助判断。
打个比方，快递员送货上门时，如果快递单只有收货的小区地址（IP地址），没有具体的门牌号（域名），那就没法将快递送到正确的客户手上（与正确的网站建立TLS连接）。
所以，SNI作为TLS的扩展，会在TLS握手时附带上域名信息。由于打招呼的过程是明文发送的，所以在建立HTTPS连接的过程中，中间人就能知道你访问的域名信息。
企业内部防火墙的访问控制和安全策略，就是通过分析SNI信息完成的。
虽然防火墙可能已经有授信的证书，但可以先分析SNI，根据域名情况再判断要不要进行深度检查，而不是对所有流量都进行深度检查
那么，这种情况下该如何保护个人隐私呢？
Encrypted ClientHello[1]（ECH）是TLS1.3的一个扩展，用于加密Client Hello消息中的SNI等信息。
当用户访问一个启用ECH的服务器时，网管无法通过观察SNI来窥探域名信息。只有目标服务器才能解密ECH中的SNI，从而保护了用户的隐私。
当然，对于授信的防火墙还是不行，但可以增加检查的成本
开启ECH需要同时满足：
比如，cloudflare SNI测试页[2]支持ECH扩展，当你的浏览器不支持ECH时，访问该网站sni会返回plaintext：
对于chrome，在chrome://flags/#encrypted-client-hello[3]中，配置ECH支持：
再访问上述网站，sni如果返回encrypted则代表支持ECH。
虽然HTTPS连接本身是加密的，但在建立HTTPS的过程中（TLS握手），是有数据明文传输的，其中SNI中包含了服务器的域名信息。
虽然SNI信息的本意是解决「同一IP下部署多个网站，每个网站对应不同的SSL证书」，但也会泄漏「访问的网站地址」。
ECH通过对TLS握手过程中的敏感信息（主要是SNI）进行加密，为用户提供了更强的隐私保护。
[1]Encrypted ClientHello:https://blog.cloudflare.com/encrypted-client-hello/。
[2]cloudflare SNI测试页:https://crypto.cloudflare.com/cdn-cgi/trace。
[3]chrome://flags/#encrypted-client-hello:chrome://flags/#encrypted-client-hello。
本文链接：http://www.28at.com/showinfo-26-5094-0.html都用HTTPS了，还能被查出浏览记录？
声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com
Copyright © 2016-2023 天津谷骐科技有限公司 版权所有 sitemap.xml
违法及侵权请联系：2376512515@qq.com 津ICP备18001702号
津公网安备 12010102000574号
