百度 2020 年了为啥还不用 HTTPS？

2020-02-28 16:35:42 +08:00
 ellermister

刚才发现百度搜索首页地址还是 http 的，以为是两种协议不强求，兼容使用。

当手动调整到 HTTPS，他自己又会跳转到 HTTP。

使用 HTTP 意味着所有在域下的操作都可以被中间人截取，包括搜索的关键词、浏览的痕迹、用户 COOKIE 等。

在 Chrome 中 HSTS 设置强制百度站点使用 HTTPS，就会出现在 HTTP => HTTPS => HTTP 无限重定向的结果。

只是个 HTTPS 而已，百度为什么不使用 HTTPS，哪怕给用户双向选择也好？

贴图

7374 次点击
所在节点    互联网
36 条回复
ellermister
2020-02-28 16:39:43 +08:00
此等状况，发现已备案的 bing.com 会更好使一些，虽然一些中文搜索力不如百度。但也是内网状态下的取舍。
wxsm
2020-02-28 16:42:31 +08:00
关注 https 的人都不用百度，用百度的不关注 https
FaceBug
2020-02-28 16:44:29 +08:00
可能是国家安全需要？哈哈哈
i0error
2020-02-28 16:45:39 +08:00
https://i.loli.net/2020/02/28/6JxSHKguEQFNCAG.png
不是你描述的这样额，是不是网络问题？
wtks1
2020-02-28 16:46:11 +08:00
没有啊，https 的百度一直使用正常
SJ2050cn
2020-02-28 16:48:54 +08:00
为啥我输 http 百度直接跳转到 https 了
ellermister
2020-02-28 16:50:14 +08:00
@i0error
https 会强制跳转到 HTTP 的，看这个图。（ MD 不知道评论是否有效，无效参见链接）

![]( https://i.bmp.ovh/imgs/2020/02/2248565422e5e7fe.png)

地址：

https://i.bmp.ovh/imgs/2020/02/2248565422e5e7fe.png
baiduyixia
2020-02-28 16:50:25 +08:00
百度早就强制跳转到 https 了呀
PolyQY
2020-02-28 16:50:33 +08:00
你这应该是运营商或者什么人劫持了，你查看一下连接的 ip 是不是百度的。https 降级攻击是典型的中间人劫持操作。
st2udio
2020-02-28 16:51:35 +08:00
我这里一直是强转 https
PolyQY
2020-02-28 16:52:11 +08:00
百度很多年前就跳转 https 了，是通过 html refresh 的方式。可能是为了减轻服务器压力。
bk201
2020-02-28 16:52:27 +08:00
你浏览器被劫持了吧
Osk
2020-02-28 16:54:03 +08:00
百度最神奇的是一些贴吧 https --> http , 反向操作是最 6 的
ellermister
2020-02-28 16:54:20 +08:00
@PolyQY

>ping www.baidu.com

正在 Ping www.a.shifen.com [14.215.177.39] 具有 32 字节的数据

ipip.net 查看到的注册信息是：广东省广州市 北京百度网讯科技有限公司电信节点
chanssl
2020-02-28 16:55:06 +08:00
我这边 https 正常来着
https://i.loli.net/2020/02/28/JscjEnobiHP5W3k.png
python35
2020-02-28 16:55:11 +08:00
我的输入 http 自动跳到 https。 我想起来我曾经装过一个改变浏览器 user-agent 的浏览器插件，后来访问百度就会被屏蔽了 https, 供楼主参考
PolyQY
2020-02-28 16:56:33 +08:00
@ellermister 我还是觉得你被劫持了，我这里四五年前就跳转 https
starcraft
2020-02-28 16:57:33 +08:00
你应该没活在一个世界线。
iasuna
2020-02-28 17:02:11 +08:00
百度 http 和 https 都可以用啊 没有强制 https 可以理解吧 毕竟国内 https 还有各种各样问题
shansing
2020-02-28 17:04:33 +08:00
@PolyQY 楼主不是访问 https 而没有得到警告？除非楼主浏览器环境受到污染，HTTPS 是不能被劫持的吧？典型的降级攻击应该限于直接 http 访问。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://tanronggui.xyz/t/648384

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX