Chrome 155：Google 默认拦截不安全 HTTP 连接

关闭通知

本文也有英文版本。

本文在技术协助下翻译，并在发布前经过编辑审校。

。

Chrome 今后将在浏览器建立不安全的 HTTP 连接之前，明确向用户征求许可。谷歌去年十月曾承诺这一改动；今年年初，该功能已向启用了“安全浏览”增强保护模式的用户推出。随着 Chrome 155 版本的发布，该保护现已默认适用于所有用户。

广告后继续阅读

HTTPS 优先

这项安全功能已存在数年，但此前仅作为可选设置。Chrome 浏览器会自动尝试通过 HTTPS 建立每一个连接。如果尝试失败，浏览器会显示警告。谷歌解释此举的理由是，仅仅一个未加密的 HTTP 连接就足以为攻击者提供入口。攻击者借此可以劫持导航，将用户重定向到被操纵的页面，以传播恶意软件或执行针对性漏洞利用。

谷歌 Chrome 在用户访问可能不安全的 HTTP 网页时发出警告。

（图片：谷歌）

尽管目前已有 95% 至 99% 的 Chrome 页面访问通过 HTTPS 进行，但仍有一些网站使用较旧、安全性较低的 HTTP 协议。迄今为止，Chrome 在打开此类页面时会显示“不安全”警告。然而研究表明，此类警告提示可能被用户忽视。关键在于，“不安全”标识只有在数据和连接已经受到威胁之后才会显示给用户。因此，它无法为用户提供避免这一威胁的机会。对于重定向等短暂的 HTTP 连接，警告甚至根本不会出现。

随着“始终使用加密连接”设置现已面向所有用户启用，Chrome 可以在建立不安全的 HTTP 连接之前就向用户发出警告。

广告后继续阅读

根据公告，谷歌认为 100% 的网络流量都应通过 HTTPS 进行，但该公司也承认，HTTPS 目前尚未全面普及，一些用户必须定期访问特定的 HTTP 网站。为顾及这一情况，Chrome 仅在用户首次访问某个网站时请求其批准使用 HTTP。一旦用户批准使用此类页面，Chrome 便不再显示进一步警告，直到用户至少两周未访问该网站为止。

此外，对于无法获得公开可信 HTTPS 证书的网站，默认也不会显示警告。谷歌解释说，例如对于“intranet/”这样的单段主机名，或“192.168.0.1”这样的本地 IP 地址——这些常用于配置家用 WLAN 路由器或类似设备——不会显示警告。该公司将通往私人页面的 HTTP 连接评定为危险性较低，因为攻击者需要物理或虚拟访问本地网络。

据谷歌称，HTTPS 设置将在桌面端和 Android 上默认启用。如有需要，可在设置中关闭该功能。

防御 ClickFix 攻击

谷歌还在进一步扩展其浏览器的安全性：Chrome 现在可以防御 ClickFix 攻击。在这类攻击中，网络犯罪分子诱导受害者在计算机上执行一条据称能解决问题的命令。

据谷歌称，Chrome 浏览器现在能够识别用户何时在“增强保护”模式下被诱导复制可疑命令。谷歌解释说，当用户复制潜在的 ClickFix 脚本时，剪贴板内容中的个人数据会被移除，并发送至“安全浏览”进行进一步分析。如果安全浏览在分析后将该命令评定为危险，Chrome 会显示警告。

Chrome 中针对可疑网站的新警告。

（图片：谷歌）

除了针对明确危险网站已知的全屏红色警告页面外，Chrome 在增强保护模式下现在还针对可疑网站显示新的提示。据谷歌称，这些提示旨在让用户及早警惕潜在的欺诈模式，而不会直接完全阻止访问。此外，谷歌在增强保护模式下使用服务端 Gemini 模型进行扩展的欺诈识别，以抵御复杂的网络钓鱼和诈骗手法，例如伪造的浏览器更新或虚假病毒扫描程序。

此外，Chrome 用户应尽快将浏览器升级到 155 版本，因为该更新修复了大量安全漏洞，其中部分为严重漏洞。

（afl）