Chrome和HTTPS：安全Web的征途

Web安全事关互联网用户的信息安全乃至财产安全，它的重要程度已不可同日而语。然而是否每个用户对他们所处的网络环境都了如指掌？是否每个网站都积极采取措施尽可能提升网站的安全性？为用户打开Web大门的浏览器又可以做些什么来提升网络安全性？

\\

Parisa Tabriz在谷歌领导着一个团队，这个团队专门负责Chrome浏览器的安全问题。Tabriz认为，一般网民无法正确区分浏览器安全警告图标，对现代浏览器来说这是一个最基本的问题。大部分浏览器使用的图标容易让人产生混淆。这种混淆带来的结果，从好的方面来说，最多也就是让我们在网站上误打误撞，从不好的方面说，它们会让我们置身于一个缺乏安全的网络环境里。

\\

全世界有近半的网站仍然在使用未加密的HTTP连接，他们并没有为此采取任何积极措施，最多也就是在地址栏旁边放上一个醒目的“不安全”字样。Chrome团队为此感到羞耻。

\\

从今年一月份开始，Chrome对它的web安全模型进行改造。之前Chrome会对没有正确加密的网站给出警告，从现在开始，它会把需要输入用户名、密码或信用卡信息的网站都标识为“不安全”的。警告图标会显示在Chrome的地址栏左边。到2017年下半年，Chrome团队将把更多没有使用HTTPS连接的网站标识为“不安全”的。这些网站包括那些没有使用加密的网站和提供不安全链接下载的网站。

\\

Josh Aas是HTTPS非盈利组织Let's Encrypt的创办者，他说“没有什么比浏览器更能作为网站转向使用HTTPS的理由了”。

\\

不过对网站来说，全部转向HTTPS并不像按个开关那样容易。一些网站包含了第三方内容，要把它们全部加密，会牵扯到太多的东西。另外，修改网页地址会影响它们的搜索排名。纽约时报从2014年底就开始转向HTTPS，然后直到2015年底这项任务都还没有完成。

\\

Aas说，有些人认为现在转向HTTPS还为时过早，不过这是必然的趋势，我们走的是一条正确的道路。

\\

Tabriz团队发布了一组数据，这组数据有关世界各地的网民用户通过Chrome访问加密网站的情况。按照不同操作系统来分，Windows平台上使用Chrome访问加密网站的比例占51%，MacOS平台60%，而Android平台仅43%。按照国家来分，美国60%的Windows用户使用Chrome访问加密网站，土耳其有47%，而在日本仅三分之一。

\\

Tabriz认为，web安全问题不仅仅是技术问题，同时也是人的问题。2010年，Tabriz和另一个同事启动了“常驻黑客”计划，教会开发者如何自己去发现并修补漏洞。自2014年Tabriz接管这个团队以来，她一直致力于如何把Chrome打造成为一扇向安全web敞开的大门。Tabriz认为，不仅仅要看好Chrome这扇门，还要努力让门外的世界也变得安全。

\\

Chrome团队对1300多个网民进行过问卷调查，并历时两年，走访了印度、巴西和印尼等国家，对那里的网民用户进行同样的调查。这些调查是关于用户如何理解网站安全警告的，然后结果并不能让人感到乐观。Tabriz说，这不仅事关那些符号，怎么让色盲用户和非英语国家用户也能正确分辨这些图标完全是人的问题。

\\

Tabriz的团队收到来自开发社区的抱怨，说她们走得太超前，甚至有点“毁坏生活”的意思。不过Tabriz仍然坚持自己的步伐。她说，说服自己不去做一些事情是很容易的，不过她已经为此做好了充分准备。所以那些不想被落在后面的网站，最好要紧跟她们的步伐。

\\

---

感谢郭蕾对本文的审校。

\\

给InfoQ中文站投稿或者参与内容翻译工作，请邮件至editors@cn.infoq.com。也欢迎大家通过新浪微博（@InfoQ，@丁晓昀），微信（微信号：InfoQChina）关注我们。