用明文HTTP配加密代理——这届用户是MITM的天堂

[GukashaRe]

就在本月1日，Xray官方正式移除了AllowInsecure选项。按理说，这应该是一记响亮的警钟：连代理工具的核心开发者都在告诉你，“允许不安全”这种选项不应该存在了，安全是第一位的。

可现实就是这么草台班子——有些人不仅没被敲醒，反而炸了。

大型低血压治疗现场

照理说来，但凡是有点网络安全常识的都知道，信任一切=跟明文传输没什么区别。但现实却是：某些教程依旧在教大家用明文HTTP登录管理面板——关键是新人真的信了。于是你会看到一个非常魔幻的现象：大量新人就这样通过 http://ip 去管理面板配置服务端，而他们配置的，恰恰是一个加密代理工具。

用明文HTTP去配置一个加密代理——这句话连起来读，本身就是个黑色幽默（甚至有点难以理解）。

结果更逆天的来了：那些一直在设置里“不验证任何证书”的节点原地显露真身，大量爆红就是最好的佐证。

照道理来讲，都做到这个份上了，应该可以让他们改自己的不安全的配置了吧？但现实却很讽刺——换软件比花一点点时间改配置容易？于是某些人就做了一件非常迷惑的事情——

换个还没删掉 AllowInsecure 的客户端，然后得意洋洋地宣布：“解决啦！”

对，不是修证书，不是配指纹，甚至懒得把 http://ip 改成 https://ip——他们的解决方案是：把提醒我“别裸奔”的保安辞了，换个不管我的。

这就好比家里煤气泄漏，警报响了，你不去关阀门，而是把报警器的电池抠了，然后说：“世界清净了。”

Xray 在前面替你挡 MITM，你在后面把盾牌卖了换糖吃？！
——啧，这届用户真难带

[RPRX]

https://t.me/projectXtls/2861

[GukashaRe]

https://t.me/projectXtls/2861

你就说能不能治好低血压吧（
当然，我们也确实叫不醒一个装睡的人，甚至...我这年头还能看到有网站把用户的地球onlineID明文传输的（（（

[Rickier]

影响到机场赚钱了是这样的，他们要发疯。

[plxo]

还好，没见有人推荐剥掉TLS直接裸奔

[GukashaRe]

还好，没见有人推荐剥掉TLS直接裸奔

但是比这更恶劣不是吗

[RememberOurPromise]

笑死，R佬太坏了不给用Insecure，一气之下裸奔，然后被墙了

[RPRX]

谁说没有的 #5640 (comment)

[GukashaRe]

谁说没有的 #5640 (comment)

那可太带派了（

[siri666666]

怎么用关你屁事啊 你装啥呢 叫啥呢 你是把vps钱出了还是域名钱出了 人家自己的东西爱几把怎么用就怎么用 傻狗玩意 好不容易逮个机会站制高点给你能的

[GukashaRe]

如果这种破事能让你这种人找到乐子和高级感的话，我没意见

当然，我们也确实叫不醒一个装睡的人，您继续您的明文之旅，我接着科普安全常识，咱两不是一条道上的

[siri666666]

你科普个几把科普 连个star都没有的玩意

[siri666666]

vibe出的狗屎都比你装模做样强

[siri666666]

xray更新个东西可把你这条高兴坏了

[GukashaRe]

xray更新个东西可把你这条高兴坏了

你要是继续用明文那你就继续用呗，在这里跟我对线的时间你的配置已经改了十八轮了🧐