京东通信实名认证页面未加密

[athanos]

http://imgur.com/0cq4x8l

实际上登录页面也没有加密，是 http 。反应给京东，京东说是安全的？

[honeycomb]

那就不应该使用，直到它上了 HTTPS 为止。

[athanos]

@honeycomb 我反映给了京东，但是他们后来打电话说后台核实了，是安全的。

[athanos]

http://imgur.com/CUMV6EN

实际上京东通信登录的页面就没有加密。

[imn1]

@athanos
他们说的“安全”和你想的不是同一个概念，他们只是说你的帐号“还”没被入侵而已
传送过程中间被截留“跟他们无关”，理由是数据还没到他们那里，是你自己的事

[alex321]

京东金融、钱包下面都有没上 https 的，二手奶茶黑东自个儿觉得自己很安全啊，前两天才爆 2013 年的老漏洞，估计最近的新漏洞还有不少，或者黑产早已入京东如反掌。。。。

[honeycomb]

@athanos

所以说不应该使用，直到它上了 HTTPS 为止。

换句话说如果它就是不用 HTTPS ，则不应用这个接口提交身份信息。

[linbiaye]

这图只有界面，具体有没有 https 得看怎么通信的

[athanos]

@linbiaye https 页面 chrome 会显示证书信息。

[t6attack]

不加密也不等于明文传密码。虽然也会被中间人作梗，但不算漏洞级的“安全缺陷”了。

[AbrahamGreyson]

手动加 https 试试。
我记得狗东有一次被劫持，我手动加上了，发现好使。

[Aspx]

狗东不实名认证一样可以购物啊，这也是我中意用狗东的理由之一

[linbiaye]

@athanos 我想说的是，页面是明文， ajax 请求不一定。

[c0mmand]

@Aspx 对哒，同样没实名，不敢开通白条之类的，货到付款。