Ocultar el encabezado HOST de la solicitud HTTP

Question

Ocultar el encabezado HOST de la solicitud HTTP

#1 de Steffen Ullrich (2 votos)

1

Me gustaría visitar un sitio que admita HTTPS, pero permitir a la menor cantidad de terceros posible saber qué sitio estoy visitando, excluyendo los sitios de cebolla, a través del encabezado de host HTTP.

Como sé actualmente, el encabezado de host HTTP puede verse en texto sin formato por cualquier persona que supervise mi red (cuando visite sitios HTTPS) y me gustaría mitigar esto lo más posible.

Una solución ineficiente que pensé sería crear un sitio web de código abierto que admita SSL (por ejemplo, HTTPHostHider.com ) que cree la conexión y transfiera de forma segura la clave pública del sitio solicitado al cliente. . A continuación es lo que quiero decir.

El cliente desea ver el contenido de example.com
Los encabezados de solicitud del cliente se envían a enlace
HTTPHostHider.com devuelve example.com encabezados de respuesta y clave pública
El cliente envía contenido cifrado a HTTPHostHider.com
HTTPHostHider.com envía la solicitud a example.com
example.com envía el contenido de la página a HTTPHostHider.com
HTTPHostHider.com envía el contenido de la página al cliente

por lo que entiendo, si el cliente se pone en contacto directamente con enlace , entonces el encabezado HTTP HOST puede ser visto por los espías (y así deducir lo que estaba haciendo). en ese sitio, la URL revela para qué sirve (por ejemplo, freeporn.org).

Entonces, mi pregunta es: ¿Cómo no filtro mi encabezado de host HTTP?

Lo siento si la pregunta no está clara; El inglés no es mi primer idioma

tls header

pregunta Need Privacy 10.09.2016 - 08:42

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls header

Reautenticación de un usuario para acciones sensibles utilizando OpenID ¿Cómo no ser hackeado a través de Computrace?

score 2 · Answer 1

Como sé actualmente, el encabezado de host HTTP puede verse en texto sin formato por cualquier persona que supervise mi red (cuando visite sitios HTTPS) y me gustaría mitigar esto lo más posible.

Esto está mal. El encabezado del host HTTP forma parte del protocolo HTTP y, con una conexión HTTPS, todo el protocolo está cifrado con SSL / TLS. Por lo tanto, el encabezado del host solo es visible para los puntos finales de la conexión SSL / TLS.

Pero dentro del propio protocolo de enlace SSL / TLS hay varias partes que muestran el nombre de host en texto plano: en la mayoría de las conexiones, ClientHello contiene el nombre en la forma de la extensión SNI. El certificado enviado por el servidor contiene el nombre en el CN y / o los nombres alternativos del sujeto. E incluso antes de que se inicie la conexión SSL / TLS, se realizará una búsqueda de DNS para averiguar la dirección IP de destino y esta búsqueda también muestra el nombre en texto sin formato.

Entonces, mi pregunta es: ¿Cómo no filtro mi encabezado de host HTTP?

La información debe estar visible porque se requiere que establezcan la conexión. La única pregunta es quién debe ver la información. Si teme que alguien lo detecte en el camino (es decir, el ISP), necesita usar una VPN, un proxy al que se acceda mediante HTTPS, Tor o similar para encriptar los datos de usted a algún punto final para que esta parte específica no pueda verlos. Una vez que la conexión dejó el punto final, todas las partes en el camino pueden volver a ver la información que desea ocultar, por lo que debe tener cuidado de dónde coloca su punto final.

Una solución ineficiente que pensé sería crear un sitio web de código abierto que admita SSL (por ejemplo, HTTPHostHider.com) que cree la conexión y transfiera de forma segura la clave pública del sitio solicitado al cliente.

Un proxy público al que se puede acceder mediante HTTPS se relaciona principalmente con lo que usted propone aquí, solo que realmente funcionará. Pero esto todavía deja el problema de por qué alguien debería configurar un sitio público, ya que de esta manera podría ser responsable de cualquier actividad ilegal que use este sitio. Ese es, por ejemplo, un problema típico cuando alguien intenta configurar un nodo de salida de Tor, porque Tor se utiliza para ocultar actividades legales e ilegales.