Туннель CONNECT: что видно посреднику

Спор в рабочем чате зашёл в тупик, выношу сюда. Гоню трафик через посредника по схеме http, сайты шифрованные. Один коллега уверяет, что посредник читает всё подряд вплоть до тела ответа. Второй говорит про глухую трубу, где не видно ничего вообще.

Мне кажется, правда где-то посередине, но пальцем ткнуть не могу. Хочется разложить по шагам: что уходит открытым текстом до того, как поднялось шифрование, и что остаётся видно после.

Вот что показывает отладочный вывод curl:

* Establish HTTP proxy tunnel to example.org:443
> CONNECT example.org:443 HTTP/1.1
> Host: example.org:443
< HTTP/1.1 200 Connection established
* TLSv1.3 (OUT), TLS handshake, Client hello (1):

Правда ближе ко второму коллеге, с одной оговоркой.

Строка CONNECT example.org:443 уходит открытым текстом, это команда посреднику: открой мне трубу вот на этот узел и порт. Посредник отвечает кодом двести и с этой секунды перекладывает байты, внутрь не заглядывая. Ни адреса страницы, ни заголовков, ни печенек он не разбирает, они уже под шифрованием.

а имя узла всё равно светится получается

Это я и хотел услышать. anton_zzz, судя по отладке, светится, причём дважды.

Дважды, именно. Первый раз в самой строке CONNECT, второй раз в приветствии клиента внутри рукопожатия: там едет поле с именем узла, и едет оно открытым текстом, до всякого шифрования. Так сделано ради серверов, где на одном адресе висит сотня сайтов и надо понять, чей сертификат подавать.

Дальше посредник видит объём в обе стороны, время начала и конца, паузы между всплесками. По этому набору характер трафика угадывается неплохо: листание страниц, видео или ровный поток однотипных запросов.

Отмечу для полноты картины: без шифрования всё иначе. Обычный http через посредника уходит строкой вида GET http://example.org/page?id=7 HTTP/1.1, полным адресом. Тут посредник читает каждую букву.

Загляните в журнал посредника, если он ваш. У squid запись про туннель выглядит вот так, и в ней ровно то, что перечислил proxy_hands:

1690000123.456 4521 10.0.0.2 TCP_TUNNEL/200 5312 CONNECT example.org:443 - HIER_DIRECT/93.184.216.34 -

Пять с лишним килобайт в обе стороны, узел, порт, куда ушло. Содержимого нет ни байта.

понял, спасибо, про приветствие вообще не знал

Проверить всё это можно за минуту на своей же машине, гадать незачем.

Ставим tcpdump на порт посредника и дёргаем curl рядом. Первым кадром с полезной нагрузкой пойдёт текст команды, он читается глазами. Дальше побегут байты рукопожатия, и имя узла в приветствии клиента тоже читается глазами, лежит оно почти в самом начале, среди мусора.

После такого дампа споры в чате обычно заканчиваются сами.

Показал обоим дамп, каждый оказался прав наполовину. Записал себе памятку в три строки: имя узла открыто, содержимое закрыто, объём и ритм видны всегда.

Спасибо, вопрос снят.

Мелочь на будущее: у сокетной схемы картина ровно та же. Имя узла едет в приветствии клиента, и его видно, какую схему подключения ни возьми.