HTTPS の pcap を Wireshark で開く。Application Data の行が並ぶ。中身は 暗号化されていて、鍵がないと平文には戻らない。

ここで pcap を閉じる手は、少し早い。

Client Hello の中に server_name extension があり、相手のドメイン名が そのまま入っている。各レコードの Length 列には、暗号化された塊の大きさが 残っている。Time 列には、送受信の時刻が並んでいる。

中身が読めなくても、相手のドメイン、量の輪郭、時刻のリズムは喋っている。