SSL कनेक्शन पर POST डेटा एन्क्रिप्ट किया गया है?


13

मैंने SSL का उपयोग करने के लिए अपना वेब सर्वर सेट किया है (सार्वजनिक सर्वर पर इसे स्थानांतरित करने से पहले मैं अपने मंचन परिदृश्य के लिए WAMP का उपयोग कर रहा हूं)। हाथ में साइट का उद्देश्य सफल हुआ है और मैं HTTPS प्रोटोकॉल का उपयोग करके दूरस्थ कंप्यूटर से साइट का उपयोग करने में सक्षम हूं।

मेरे एक उपयोगकर्ता (परीक्षक) के साथ एक चिंता POST डेटा के संबंध में थी। अपने परीक्षण परिदृश्य में, वह हमारे संभावित ग्राहकों में से एक के साथ साइट पर है, अपने VERY picky कॉर्पोरेट फ़ायरवॉल के पीछे साइट तक पहुँच (हमने पहले ही काम किया है कि यह साइट उनके AUP पर कैसे लागू होती है, और हम साफ हैं)। वह POST और GET डेटा की निगरानी के लिए Firebug का उपयोग करके FireFox में साइट चला रहा है। सवाल यहाँ है:

अपनी फायरबग विंडो में, XMLHTTPRequest से POST और प्रतिक्रिया सादे पाठ में वापस आ रहे हैं। क्या इसलिए कि वह वह था जिसने सुरक्षित कनेक्शन शुरू किया था? क्या POST / रिस्पॉन्स डेटा नेटवर्क के प्रवेश या लॉग को दिखाएगा?

कृपया ध्यान दें कि यहां इरादा नीतियों को धोखा देने या खतना करने के लिए नहीं है; यह विभिन्न स्थानों पर ऑन-साइट लोगों के लिए एक एप्लिकेशन है जिसका संवेदनशील डेटा संचारित करने की आवश्यकता है। हमारे द्वारा उपयोग किए जाने वाले हर नेटवर्क इन्फ्रास्ट्रक्चर के साथ उपयोग का समन्वय किया जाएगा।


यहां तक ​​कि url और querystring एन्क्रिप्ट किए गए हैं
नील मैक्ग्यूगन

एक सरल परीक्षण और सूँघने के साधनों के समुचित उपयोग के रूप में, http.request.uri के आधार पर फ़िल्टर करने के लिए tshark / WireShark का उपयोग करें और जब आप https के साथ काम करते हैं तो आप देखते हैं कि प्रदर्शन के लिए कुछ भी नहीं है। दूसरी ओर http पर समान अनुरोध भेजें और आप सब कुछ देखें।
मझियार

जवाबों:


20

हां, POST डेटा एन्क्रिप्ट किया जाना चाहिए। HTTP अनुरोध में सब कुछ SSL वार्तालाप में एन्क्रिप्ट किया जाना चाहिए। SSL डेटा को ब्राउज़र द्वारा डीक्रिप्ट किए जाने के बाद फायरबग को इसकी जानकारी मिलती है। यदि आप सुनिश्चित करना चाहते हैं, तो बीच में बैठे प्रॉक्सी के रूप में फ़िडलर या वेबसैकर जैसे कुछ का उपयोग करें, हालांकि आपको एसएसएल के साथ अच्छी तरह से खेलने के लिए उन्हें पाने के लिए गेम खेलना पड़ सकता है। फ़िडलर का उपयोग करके HTTPS ट्रैफ़िक को डिक्रिप्ट करने के तरीके के बारे में एक पृष्ठ यहां दिया गया है ।


3
यदि आप एन्क्रिप्शन पर बिल्कुल भी संदेह कर रहे हैं, तो ग्राहक पर Wireshark फेंकें और ट्रैफ़िक को सूँघें।
इवान एंडरसन

मैंने फ़िडलर की जाँच की और HTTPS और HTTP डेटा के बीच POSTS और GETS की तुलना की और पुष्टि की कि POSTS और GETS सुरक्षित हैं। धन्यवाद!
होनस वैगनर

@ इवानक पर मुझे क्या देखना चाहिए?
होनस वैगनर

3
@Honus: आप कचरा ढूंढ रहे हैं :)। यदि डेटा एन्क्रिप्ट नहीं किया गया है, तो आप इसे Wireshark में देख पाएंगे। यदि यह एन्क्रिप्टेड है - तो आप एन्क्रिप्टेड (गैर-पठनीय) डेटा देखेंगे।
सनी

1
@ हॉनस: विर्सार्क एक पैकेट एनालाइजर है इसलिए यह आपको उन सभी पैकेटों को दिखाएगा जो तार में आ रहे हैं। आपके पास एप्लिकेशन स्तर प्रोटोकॉल की परवाह किए बिना सभी नेटवर्क ट्रैफ़िक को देखने की क्षमता है। फ़िल्टर हैं (HTTP के लिए एक सहित) जो आपको संकीर्ण चीज़ों को और अधिक आसानी से देखने देते हैं जो आप देख रहे हैं।
स्क्विलमैन 20
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.