HTTPS und URL

Hi,
ich hab mal eine ganz einfache Frage. Wird beim Verwenden des HTTPS Protokolls die komplette URL in der GET Methode verschüsselt oder nur die Parameter nach der Domain?
Warum ist es so schwer beim Einrichten einer Firewall gezielte HTTP Seiten zu blockieren aber keine HTTPS Seiten?

Beim initialen Request ( korrekt eigentlich den ersten TCP Paketen ) besteht keine Verschlüsselung. Der Client und der Server handeln den Algorithmus und das Protokoll ( SSLv3, TLS 1.0 / 1.1 / 1.2 ) zunächst aus. Alles weitere geht dann über den verschlüsselten Kanal.

Bzgl. Firewalls werden häufig Proxys genutzt die selbst Zertifikate generieren und damit eine "Man in the middle" Attacken auf den Benutzer ausführen. Das Root-Cert des Proxys wird vorher auf den Clients importiert und alles scheint vermeintlich O.K. . Machen viele große Unternehmen so.

Was du im Unklaren lässt ist was du überhaupt erreichen möchtest.

HDopfer schrieb:

ich hab mal eine ganz einfache Frage. Wird beim Verwenden des HTTPS Protokolls die komplette URL in der GET Methode verschüsselt oder nur die Parameter nach der Domain?

Zum Vergrößern anklicken....

Auf Anwendungsebene:

Der komplette HTTP-Datenverkehr ist verschlüsselt, dazu gehört auch die URL. Es wird nichts verschickt, bevor nicht die sichere Verbindung steht.

Auf Transportebene:

Die Sache ist jetzt aber, dass du irgendwann mal eine TCP-Verbindung aufbauen musst (was möglicherweise erst eine DNS-Abfrage zur Folge hat) und du diese später eben zur Kommunikation nutzt. Das heißt, dass Außenstehende den hostnamen + port des Servers sehen können, wenn sie denn wollen.

Außerdem solltest du beachten, dass die URLs in Logs auf dem Zielserver auftauchen können, da ändert HTTPS nichts dran.