$_GET over https
als ik naar een website navigeer en ik geef als parameter mee gps=12345 (https://website.com/index.php?gps=12345)
is de variabel ' gps' in de url dan kwetsbaar voor eavesdropping ondanks dat ik HTTPS gebruik?
Nee dit is niet het geval. Je GET parameters worden gewoon geencrypt via SSL net zoals de rest van het pakketje, dit geldt ook voor POST methode.
Een URL is iets anders dan een domeinnaam. Het domeinnaam wordt met DNS omgezet naar een IP adres. De rest van het http(s) request(GET request) komt in een HTTP header. Als je een beetje verstand heb van netwerken dan weet je dat de http berichten plaatsvinden op laag 7 van het OSI model(application layer).
Het SSL/TLS protocol bevindt zich op laag 5 van het OSI model. Dit betekent dat alles vanaf laag 5 t/m laag 7 encrypted over de lijn gaan. Het enige wat normaal gesproken(zonder IPsec etc) leesbaar is voor mensen die je internet lijn bekijken zijn de lagen 4 t/m 1. Dit is informatie over TCP/UDP en IP enzo.
is de variabel ' gps' in de url dan kwetsbaar voor eavesdropping ondanks dat ik HTTPS gebruik?
Als ik met een (Engelstalige) MSIE 8.0 naar https://secure.security.nl/artikel/40413/1/%24_GET_over_https.html surf, en de vraag "Do you want to view only the webpage content that was delivered securily?" met No beantwoordt, dan wordt die volledige URL wel plain tekst en sniffable overgedragen, namelijk:
- in een http request URI aan googleads.g.doubleclick.net:
- als referrer in een get van http://pagead2.googlesyndication.com/pagead/abglogo/abg-nl-100c-ffffff.png;
- als referrer in een get van http://pagead2.googlesyndication.com//pagead/sma8.js;
- als referrer in een get van http://googleads.g.doubleclick.net/pagead/drt/s?safe=on.
Dat MSIE mij daarom vraagt is een (non-default) instelling die ik zelf gemaakt heb. Dat gegevens zijn gelekt zie je (achteraf) aan het feit dat er in MSIE geen slotje getoond wordt, en in Firefox dat het slotje doorgehaald is.
Daarnaast kunnen er, welliswaar versleutelde, verbindingen zijn met sites van derden, die natuurlijk ook jouw URL als referrer (of direct) voorbij zien komen en in hun logs kunnen zetten. Anoniem zijn op Internet is echt niet eenvoudig.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?