http2.0 是否能缓解运营商劫持？

[mengdisheng]

因为个人博客用了腾讯云 cdn https，里面好像能直接开 http2.0 所以有这个疑问。

[CloudnuY]

我就想知道为什么运营商能这么光明正大肆无忌惮的劫持全国这么大量的宽带用户？谁给他们的胆儿

[nosugar]

https://en.wikipedia.org/wiki/HTTP/2#Encryption
Encryption[edit]
HTTP/2 is defined for both HTTP URIs (i.e. without encryption) and for HTTPS URIs (over TLS using ALPN extension[26] where TLS 1.2 or newer is required).[27]

Although the standard itself does not require usage of encryption,[28] most client implementations (Firefox,[29] Chrome, Safari, Opera, IE, Edge) have stated that they will only support HTTP/2 over TLS, which makes encryption de facto mandatory.[30]

浏览器只支持 TLS （也就是 https ）的 HTTP/2，即使劫持了证书，你浏览器会红色警示你。但是恶意软件偷偷给你电脑安装私有证书，那么这就不安全了。

[anheiyouxia]

@rosu
@iNaru

@just1
想了一下你们说的，确实应该是 https 下引用了 http 的内容
但是这个我还是认为是运营商的锅
因为再 chrome 下，只要是 tls 下，无论怎么刷都不会出现这种情况，只要不是用 chrome，随便什么热门网站都会出现这样的情况，而这个时候刷新多一次就正常的绿色锁
这个问题一天就出现一两次，劫持过后，无论怎么上都不会再出现这种情况
而这个问题用联通 4G 网络是不会这样的
虽然不知道运营商是怎么做到这样劫持的

[xenme]

@mengzhuo 原来你的知识都只局限于 wireshark，要是无法解析估计你就不认了。你都不知道为啥分层，每层的作用，只会照本宣科

[mengzhuo]

@xenme #64

蛤蛤蛤~你跟我说我只局限于 Wireshark ？

公开的话

我早在 14 年就自己实现过全套 smtp
https://github.com/34nm/gsmtpd

udp 的 ntp 也写过
https://github.com/mengzhuo/gontpd

不公开的就不细说了，从头到尾设计过手游用的二进制应用传输协议，线上稳定运行 2 年。

你的呢？

[yingfengi]

我读书少你别骗我，这个不安全是 https 页面加了 http 资源。现在不是很多搞全站 https 很多有这个问题吗。
不应该是劫持证书，你看下什么证书现在，要是劫持证书肯定不信任会提示的。
感觉不是运营商的锅。

[just1]

@anheiyouxia 运营商做不到的。因为你访问的是 https 页面，任何要加载的东西都只能是豆瓣服务器告诉你的，由这锅只能豆瓣背。
从技术层面上讲，https 是没有办法被劫持的，除非运营商在你的电脑里面信任了他的 ca 证书，但很明显，这不可能。

[xenme]

@mengzhuo 实现这个就很牛？

你写个其他的，其他话就没错了？这逻辑有点感人啊。

[i730]

@mengzhuo #59 我不知道怎么和你说，但是 一楼二楼 https 可以防劫持+*已知*浏览器的 http2 必须 https 并没有什么冲突的地方。

[laoyuan]

https 劫持我感觉是这样的：即便 url、域名都加密，你总要连接 IP 吧，一旦检测出你在某段时长内第一次连接购物网站的 IP，就给你跳到带尾巴的首页，请问 http2 能破？

[holulu]

https 是解决服务器与客户端之间通信的隐私问题，跟网站是不是安全没有关系。
http2 是解决性能问题，一个连接能承担多个请求，只是规定要跑在 https 上。
为何都被说到其他地方去了？