HTTPS加密元数据吗？

Question

HTTPS加密元数据吗？

不一定是页面上的东西，或者广告之类的东西，但是其他人有可能知道元数据，比如标签被称为什么，或者仅仅是网站名称？

Answer 1

HTTPS加密元数据吗？

TLS只加密有效载荷。值得注意的是，以下元数据仍然可用：

• 第3/4层信息，特别是连接的源和目标IP/端口:--可以用来获取客户端的信息，即客户端来自的网络。附加信息如TTL、初始序列号、初始窗口大小可用于被动指纹检测操作系统。目标IP可以用来获取关于服务器的信息，即客户机正在访问的内容。
• 如果使用SNI，则目标域名:被所有现代TLS堆栈使用，至少用于HTTPS。这可以用于进一步确定客户端连接的目标。
• 客户端提供的密码套件和扩展:--这可以用于对客户端进行指纹识别，即检测使用了哪种浏览器或操作系统版本。
• 服务器证书:，它添加了一些关于连接目标的更多信息，并且经常提供确切的域名，即使没有使用SNI (比如在非HTTTPS连接中)。
• 可选客户端证书:，因为这可能用于身份验证，因此它添加了一些关于客户机的有用信息。
• 传输数据的大小和时间:虽然在查看加密数据时可能无法得到确切的大小，但是可以确定大约的大小。连同传输的时间和方向(即流量)，这可以用来找出哪个协议可以说(HTTP，SMTP，VPN.)因为不同的协议具有不同的流特性。如果仅在不受限制访问的目标站点上使用HTTPS，甚至可能缩小客户机访问的站点上的公共可用页面的范围。

Answer 2

域是透明的，首先由SNI中的客户端传输，然后由证书中的服务器进行传输。浏览器选项卡的标题是加密的。

IP地址、域和时间都是任何可以访问您的电信或ISP的元数据。美国国家安全局局长迈克尔·海登将军说：“我们基于元数据杀人。”

在TLS1.3中，它今天部署在beta浏览器的特性标志后面，可能会完成标准化过程，并在6个月内默认启用，它也会加密域名。但这仍然会留下两个IP地址和时间。

Answer 3

请求的IP和域(因为SNI)是可见的，但其余的是加密的。