Видит ли владелец (и тот кто вклинится в трафик) прокси сервера тело запроса?

Question

[rxsx]

Схема такая:

1) Может ли владелец прокси сервиса посмотреть тело запроса и его заголовки?
2) Может ли тот, кто вклиниться в трафик между клиентом и прокси сервисом увидеть тело запроса и заголовки?

Answer 1

[Rsa97]

1. Если на прокси настроен SSL bumping и на клиенте установлен соответствующий корневой сертификат, то может.
2. Аналогично, при поднятии прозрачного прокси и настройке соответствующей маршрутизации на клиенте или встраивании в цепочку имеющегося маршрута.

Comments

[rxsx]

А если не настроен и запрос идет на HTTPS домен, то не может?

[Rsa97]

rxsx, Если бампинг не настроен, то можно увидеть имя сайта, если используется SNI, или только IP сервера, если ESNI. Всё прочее будет в закрытом туннеле, который прокси создаёт в режиме CONNECT, просто транслируя зашифрованную информацию от клиента серверу и обратно, без возможности расшифровки на самом прокси.

Answer 2

[Дмитрий Шицков]

3. И в обоих случаях могут видеть, если запрос отправлен по HTTP.

Comments

[rxsx]

А если по HTTPS то нет?

[Дмитрий Шицков]

rxsx, про https в ответе @Rsa97
Т.е. не видит - только хостнейм сайта, но есть много "но" при которых может и видеть.

[Дядька Серёжа]

Дмитрий Шицков, вероятно речь про случай когда к серверу выполнено подключение с применением слабого алгоритма шифрования или аутентификации