I messaggi di chat di Facebook sono crittografati?

I took a peek with Wireshark and I couldn't see any plain text message. Everything Facebook related was going through TLS/SSL. It appears that, at least in my case, everything was encrypted. I would, however, appreciate if someone more knowledgeable could confirm this.

Sarebbe esattamente quello che farei per verificare se il mio browser sta inviando messaggi in chiaro da qualche webapp. Tuttavia, dato che ci si trova su una pagina che è connessa tramite HTTPS, la chiamata AJAX deve essere effettuata tramite HTTPS grazie alla stessa politica di origine. Esiste una domanda vecchia (ma ancora effettiva) su SO .

Se guardi i commenti su quella domanda vedrai anche un riferimento alla specifica CORS che sostiene quanto segue su C ross S ite R esource S haring:

user agents are allowed to terminate the algorithm and not make a request. This could be done because e.g.:

...

• https to http is not allowed.

Ora, questa parte della tua domanda è un'altra storia:

And since my understanding of https is a bit shoddy, what would using https for chat actually mean in terms of encryption? Would there be encryption for incoming messages, outgoing messages, or both (or neither)?

Per la parte relativa alla crittografia, farò semplicemente riferimento alla domanda SO pertinente .

Per la parte "scadente" si intende probabilmente il (abbastanza) famoso attacco sslstrip di Moxie Marlinspike. È un MITM che simula il browser con cui sta effettivamente parlando, è un attacco che richiede che l'attaccante abbia il controllo della rete su cui ti trovi. HSTS viene ampiamente implementato in questi giorni (Facebook lo usa) quindi sslstip sta diventando meno di un problema. E abbiamo anche una domanda di riferimento per sslstrip .

References:

• Richiesta Ajax HTTP tramite la pagina HTTPS
• Condivisione delle risorse tra origini
• In che modo HTTPS fornisce sicurezza?
• Come funziona SSLstrip?