Gli URL possono essere annusati quando si utilizza SSL? [duplicare]

HTTPS utilizza TLS, ovvero Transport Layer Security. HTTP come protocollo, viene eseguito sopra il livello di trasporto. Ciò significa che tutte le comunicazioni effettuate da HTTPS, incluso l'URL, sono protette.

Il passaggio dell'ID di sessione nell'URL non è sicuro per altri motivi. Ad esempio espone la possibilità di Correzione della sessione . L'ID sessione scritto su carta se un utente stampa una pagina Web. Sconfigge anche l'uso dei cookie HTTPOnly ... Questa è solo una cattiva idea ed è probabile che questa banca abbia fatto altre scelte sbagliate riguardo alla sicurezza.

No, l'URL non viene passato in chiaro quando si effettua una richiesta HTTPS ma, come dichiarato da Rook, ci sono altre vulnerabilità nel passare l'id della sessione nell'URL.
1. Uno di questi è che l'ID della sessione verrà elencato come l'URL del referrer. Pertanto, se si fa clic su un collegamento dal sito Web delle banche a un altro sito Web, il sito collegato registrerà il proprio ID di sessione. Lo stesso accadrà con qualsiasi immagine o script caricato.
2. Oltre al problema con il sito collegato che memorizza le informazioni, se il collegamento è a un sito non-https, l'URL del referrer contenente l'ID della sessione verrà inviato in testo normale consentendo a chiunque di individuare la rete per ottenere l'URL.

Quando si utilizza HTTPS, il traffico verrà crittografato. L'unico problema è che se un utente malintenzionato ha accesso ad annusare il tuo traffico, potrebbe anche abusare di agire come server di destinazione e impostare una connessione crittografata con te che sembra essere la tua banca. L'utente malintenzionato crea quindi un'altra sessione con la banca e inoltra tutte le richieste alla banca e tutte le risposte a te. Questo ti dà l'illusione che stai effettivamente comunicando con la tua banca quando non lo sei.

È qui che i certificati entrano in gioco in quanto possono essere utilizzati per verificare che la destinazione sia quella che dicono di essere. In questo caso incassi.

Ci sono anche alcuni modi per abusare dei certificati per farli sembrare legittimi.

Ti consiglierei di controllare: link

Un ottimo video su questo argomento può essere trovato qui: link

Dovrò non essere d'accordo con alcune delle risposte qui. In senso stretto, nessun URL può essere annusato puramente in quanto protetto da SSL come indicato correttamente.

Nello spirito del senso "sono sicuro" della domanda, sappi che se sono in grado di annusare, potrebbero comunemente condurre un attacco MITM, ottenendo dettagli anche con i siti per i quali stai usando tipicamente SSL. (Vedi sslstrip).

Punta sempre a prestare attenzione al tuo browser e non dare per scontato nulla:)