Chrome瀏覽器誕生10年,網(wǎng)絡(luò )環(huán)境更安全更可靠了
9月10日消息,《連線(xiàn)》網(wǎng)站撰稿回顧了誕生至今十年間Chrome瀏覽器在安全性上的演變歷程。
本文引用地址:http://dyxdggzs.com/article/201809/391731.htm在Chrome瀏覽器初次亮相時(shí),谷歌開(kāi)發(fā)者并未構想要讓它的安全性超越IE、Safari等知名競爭對手。但他們確實(shí)構建了一種以全新方式組合關(guān)鍵元素的服務(wù),進(jìn)而讓Chrome的瀏覽體驗明顯更安全、更可靠。
“Chrome讓我們步入了怎樣的時(shí)代?或許是Web 3.0,”《連線(xiàn)》在谷歌推出Chrome的那天(2008年9月2日)寫(xiě)道,“它管理標簽的方式,它處理錯誤的方式,它令人目眩的速度......毫無(wú)疑問(wèn),這是網(wǎng)絡(luò )開(kāi)發(fā)世界的顛覆者?!?/p>
至關(guān)重要的是,Chrome以全新的方式管理標簽;其“沙箱”模式使每個(gè)標簽都擁有各自的權限和受保護的內存。這樣,如果一個(gè)標簽崩潰,不會(huì )導致整個(gè)瀏覽器崩潰;試圖攻擊一名Chrome用戶(hù)的黑客無(wú)法一次攻擊多個(gè)網(wǎng)站。Chrome瀏覽器更像在權限系統(permission system)上運行許多獨立程序的操作系統,而不是一個(gè)單獨的免費程序。這在各種瀏覽器產(chǎn)品中,尚屬首例。
“Chrome剛誕生時(shí),互聯(lián)網(wǎng)中的最大威脅就是惡意軟件,我認為人們已經(jīng)忘了當時(shí)惡意軟件有多普遍,”自2009年以來(lái)一直從事Chrome相關(guān)工作的首席工程師賈斯汀·舒爾(Justin Schuh)說(shuō),“如果用戶(hù)未使用最新的瀏覽器,甚至在某些情況下,哪怕使用了最新瀏覽器,也可能因瀏覽某個(gè)網(wǎng)站而讓電腦系統感染惡意代碼,而且渾然不知這是如何發(fā)生的。所以Chrome的原始設計擁有兩大功能:自動(dòng)更新以及Chrome沙箱。前者可確保用戶(hù)始終擁有最新版本,后者可確保如果存在可被利用的漏洞,我們可以把漏洞限制在沙箱中?!?/p>
這些功能使Chrome在2008年脫穎而出,如今它已成為某種行業(yè)標準,但當時(shí)谷歌曾因與Chrome相關(guān)的數項重大決策而遭到批評?!白詣?dòng)更新面臨很多阻力,這些阻力的來(lái)源包括包括Chrome安全團隊本身以及當時(shí)還未加入團隊但如今卻是成員的人?!盋hrome工程總監帕里沙·塔布里茲(Parisa Tabriz)表示,“我記得有一位同事認為自動(dòng)更新是魔鬼。他說(shuō)這會(huì )剝奪用戶(hù)選擇,并對單一故障點(diǎn)過(guò)于信任。但現在我們的行業(yè)已發(fā)生巨大變化,自動(dòng)更新實(shí)際上體現出了瀏覽器的意義?!?/p>
很快Chrome開(kāi)始被稱(chēng)為安全瀏覽器,其原始沙箱與谷歌安全瀏覽服務(wù)中的網(wǎng)絡(luò )釣魚(yú)和惡意軟件防護功能相結合,成功地保護用戶(hù)免受當時(shí)的大多數威脅。但隨著(zhù)網(wǎng)絡(luò )入侵的發(fā)展攻擊者逐漸不再采用偷偷下載的攻擊方式,更多地依賴(lài)向網(wǎng)站中嵌入的第三方組件和服務(wù),Chrome快速響應,推出阻止這些新漏洞的應對方案。
“在2011年和2012年左右,用戶(hù)被攻擊的頻率最高,”塔布里茲指出,“它們來(lái)自第三方插件,我們無(wú)法像控制Flash那樣控制它們。有關(guān)Chrome安全和整體網(wǎng)絡(luò )的一個(gè)有趣事實(shí)是Flash與其他瀏覽器存在諸多合作。所以Flash是一項非常強大、酷炫、很有創(chuàng )意的技術(shù),但覆蓋面積廣,并帶來(lái)了很多安全問(wèn)題。所以我們已經(jīng)開(kāi)始推行HTML這一開(kāi)放標準,所有瀏覽器都可以使用這個(gè)標準?!?/p>
雖然很明顯谷歌在積極爭取Chrome用戶(hù),并且通過(guò)依賴(lài)Chrome的Android構建了整個(gè)生態(tài)系統,但舒爾和塔布里茲指出,Chrome瀏覽器仍然得到大規模開(kāi)源項目的支持。他們補充,除了發(fā)布代碼庫之外,Chrome還執行著(zhù)開(kāi)放式研發(fā)的模式,谷歌樂(lè )于采納全球開(kāi)發(fā)人員的點(diǎn)子,Chromium論壇的對話(huà)都是對外公開(kāi)的。谷歌甚至通過(guò)漏洞賞金計劃獎勵發(fā)現并提交Chrome漏洞的研究者,迄今谷歌已支付了超過(guò)420萬(wàn)美元的賞金。
“不采用開(kāi)放式研發(fā)也有可能實(shí)現開(kāi)源,”舒爾指出,“但世界上任何人都可以訂閱我們的外部wiki頁(yè)面和郵件列表。許多人參與我們的項目,他們使用的不是谷歌的公司賬戶(hù),而是獨立的Chromium帳戶(hù)?!?/p>
過(guò)去數年,Chrome團隊的一個(gè)重要項目是通過(guò)“站點(diǎn)隔離”這一新功能擴展Chrome沙箱的概念。該機制使不同的Web組件和站點(diǎn)更加難以相互竊取用戶(hù)數據。Chrome團隊最初設想此功能可以抵御各種類(lèi)型的在線(xiàn)犯罪和濫用,沒(méi)想到最終還幫助用戶(hù)防范了Meltdown和Spectre類(lèi)型的漏洞。
Chrome最近的一個(gè)關(guān)注焦點(diǎn)是,倡導在網(wǎng)絡(luò )上廣泛使用加密連接。在為了鼓勵網(wǎng)站使用HTTPS協(xié)議、摒棄HTTP,谷歌與安全領(lǐng)域的其他開(kāi)發(fā)方合作了數年。2017年初,Chrome通過(guò)在瀏覽器內彈出的消息來(lái)提醒未采用HTTPS的網(wǎng)站。以前Chrome把使用HTTPS的網(wǎng)站標記為安全網(wǎng)站,后來(lái)它開(kāi)始直接視之為標準網(wǎng)站,并標記僅使用HTTP的網(wǎng)站為不安全網(wǎng)站并向用戶(hù)發(fā)出警告。如今,Chrome流量中77%都受到HTTPS的保護。
“HTTPS已經(jīng)推行了20年,但網(wǎng)絡(luò )幾乎被HTTP主導,直到最近這一局面才被改變,”Chrome的工程經(jīng)理安德里尼·波特·菲爾特(Adrienne Porter Felt)表示,“我們本可以更改Chrome界面,告訴大家‘嘿,你的數據不安全?!聦?shí)確實(shí)如此,但這么做會(huì )引起恐慌,而且無(wú)益于解決問(wèn)題。所以我們決定幫助整個(gè)網(wǎng)絡(luò )推行HTTPS加密協(xié)議。我們與Let's Encrypt和火狐等伙伴合作,旨在讓HTTPS更便宜、更易施行。這是一個(gè)很難解決的問(wèn)題,最初甚至在谷歌內部也存在諸多懷疑的聲音?!?/p>
由于對過(guò)度推廣和單一故障點(diǎn)的擔心,Chrome的自動(dòng)更新功能曾遭到反對。這預示著(zhù)Chrome的安全計劃會(huì )一次次地被批評的聲音所困擾。隨著(zhù)Chrome瀏覽器的壯大,網(wǎng)絡(luò )領(lǐng)域越來(lái)越擔心Chome的實(shí)力過(guò)強,將影響行業(yè)標準、并推動(dòng)開(kāi)發(fā)人員在其他平臺上專(zhuān)門(mén)針對Chrome而優(yōu)化網(wǎng)站。
在誕生10周年時(shí),Chrome對電腦端和移動(dòng)端進(jìn)行了重新設計,簡(jiǎn)化標簽管理功能,擴展設置的個(gè)性化以及一項名為“智能回答(Smart Answer)”的功能。Chrome稱(chēng)該功能將立即(甚至在打開(kāi)任何網(wǎng)頁(yè)之前)在Chrome的Omnibox地址欄中顯示信息。但是,進(jìn)一步展望未來(lái)10年,該團隊表示,計劃集成更深入的人工智能和機器學(xué)習技術(shù)(這是谷歌服務(wù)的一項趨勢),還將融入更多虛擬現實(shí)和增強現實(shí)工具以增強瀏覽效果。
安全團隊明確表示計劃向移動(dòng)瀏覽端引入“站點(diǎn)隔離”功能;智能手機上相對有限的計算資源使實(shí)現這一點(diǎn)變得困難。該團隊還計劃優(yōu)先向Chrome用戶(hù)介紹該瀏覽器的內置密碼管理器,該密碼管理器已經(jīng)存在多年,但在Chrome許多其他功能中默默無(wú)聞。在這方面,Chrome的主導地位也引發(fā)了一些問(wèn)題;瀏覽器中的密碼管理器具有潛在的風(fēng)險,安全專(zhuān)家不太喜歡它們。但聊勝于無(wú),而且專(zhuān)用密碼管理器會(huì )更安全。
Chrome工程師還表示,控制網(wǎng)絡(luò )釣魚(yú)仍是一個(gè)優(yōu)先事項。對于這項工作,工程師們既結合了Chrome自身的掃描和監控功能,又鼓勵網(wǎng)站在憑證管理和Web身份驗證上采用最佳解決方案。谷歌正致力于向用戶(hù)介紹通過(guò)物理身份驗證令牌等措施來(lái)促進(jìn)自我保護的方法。
“目前密碼網(wǎng)絡(luò )釣魚(yú)是一個(gè)嚴峻的問(wèn)題,”舒爾表示,“每個(gè)人都見(jiàn)過(guò)身邊有人丟失密碼,并且在2016年大選中網(wǎng)絡(luò )釣魚(yú)發(fā)揮了重要作用。如果從現在開(kāi)始三到五年內密碼網(wǎng)絡(luò )釣魚(yú)的問(wèn)題仍未在很大程度上得到解決,我將非常非常沮喪?!?/p>
也許最值得注意的是,該團隊表示,下一個(gè)規模類(lèi)似HTTPS推廣的項目將是,重新設計URL在網(wǎng)絡(luò )上的顯示方式,這是重新構想在線(xiàn)身份的任務(wù)的一部分。該團隊表示,如果用戶(hù)能夠更好地跟蹤他們在特定時(shí)間與哪些實(shí)體進(jìn)行交互,他們將能夠更好地決定信任誰(shuí)、何時(shí)信任以及原因。但重塑URL生態(tài)系統的努力都將不可避免地產(chǎn)生分歧。塔布里茲表示:“從目前的形勢來(lái)看,讓人們不用URL將非常困難,也會(huì )引發(fā)爭議?!?/p>
無(wú)論好壞,Chrome安全團隊多年來(lái)一直在努力應對來(lái)自行業(yè)和社區的阻力,這使該團隊更能夠承擔越來(lái)越多這類(lèi)影響廣泛的網(wǎng)絡(luò )生態(tài)系統項目。盡管到目前為止大致情況一直在向好的方向發(fā)展,但Chrome的影響力加上谷歌的總體優(yōu)勢意味著(zhù)未來(lái)10年的高風(fēng)險。隨著(zhù)Chrome服務(wù)的在線(xiàn)控制程度越來(lái)越高,網(wǎng)絡(luò )社區將密切關(guān)注Chrome對多元化的真正重視程度。
評論