Firefox 14 holder dine Google-søgninger hemmelige

Kan man POST'e til Google eller hvordan fungerer det?

Hvis jeg går ind på https://google.com og laver en søgning, afslører URL'en stadig hvad jeg søger på?

https://www.google.dk/search?hl=da&safe=off&site=&source=hp&q=nyt+job+ho...

Kan artiklen få lidt kød på?

URL'en bliver også krypteret ved HTTPS. (Udover at domænet skal en tur igennem DNS)

Der er vel ikke så meget mere kød at fylde på, Henrik. Når du benytter HTTPS, kan man ikke se URL'en i netværket. Om det er GET eller POST spiller ingen rolle.

Jeg synes ikke det fremstår klart i denne artikel, at det nye er, at når man bruger søgningsfeltet i selve browseren er det nu krypteret med HTTPS. Man har jo altid kunne tilgå google med HTTPS igennem https://google.dk og derved have krypteret trafik, ligesom man kan med alle andre store hjemmesider.

Jeg ved ikke hvor længe, den har gjort det, men Chrome bruger HTTPS til søgninger i dens omnibox.

Så det er vist Firefox, der leger "catch-up" igen...

Jeg undskylder ydmygt, troede faktisk jeg havde nogenlunde styr på HTTP/HTTPS protokollerne, men man lærer vel nyt hver dag.

Så det er kun IP + evt. hostname der er synligt og så selve GET/POST headeren som er krypteret fuldstændigt? (Skal lige se om jeg forstår det korrekt.)

Nej, SSL-forbindelsen etableres inden HTTP-forbindelsen, så alle HTTP-headers er krypterede, også GET og POST som du skriver. Der er derfor ikke noget hostname i klartekst. Medmindre man bruger SNI (Server Name Indication)

Så SSL fungerer som et ekstra lag mellem HTTP og TCP, altså HTTP traffik bliver sendt igennem en SSL "Tunnel"?

Ja undskyld kommentar spammen, men nu forsøgte jeg at undersøge det og kunne faktisk ikke grave noget teknisk svar frem.

Så SSL fungerer som et ekstra lag mellem HTTP og TCP, altså HTTP traffik bliver sendt igennem en SSL "Tunnel"?

Ja, først oprettes en helt almindelig SSL-forbindelse (TCP-forbindelse til port 443, hvor webserveren lytter). Når den er oprettet (inklusive verifikation, etc.), sendes der så et HTTP-request over denne forbindelse.

Med en SSL-installation som openssl kan man teste dette fra kommandolinje, fx:

openssl s_client -connect www.sundhed.dk:443

Og så når forbindelsen er oprettet kan man sende et HTTP-request af sted, fx:

GET /service/om-sundheddk/ HTTP/1.0  
Host: www.sundhed.dk  
(tom linje)

Dette svarer til, at man henter https://www.sundhed.dk/service/om-sundheddk/

Som Michael Nielsen nævner, så skal hostnavnet (her www.sundhed.dk) først slås op i DNS, hvilket måske indledningsvis kan afsløre, hvilket hostnavn man laver forespørgsler under. Omvendt set vil SSL-certifikatet på den forbindelse alligevel nævne hvilket hostnavn, det er udstedt til.