經銷商專區｜登入
〔最新消息〕2021-01-11
Chrome瀏覽器有一個新年的決議，預設使用HTTPS
HTTPS，你可能知道，代表安全的HTTP，它是一個加密過程--如果你喜歡的話，是一種網路安全舞蹈--你的瀏覽器與網路服務器連接時，通過同意對來回的資料進行加密，提高了隱私和安全性。
對瀏覽器和伺服器之間的HTTP流量進行端到端加密意味著。
- ● 你的網頁請求和回復的內容不能被網路上的其他人輕易地監測到 這使得攻擊者更難（幾乎，甚至絕對不可能）竊聽你網路流量中出現的密碼、信用卡號碼、檔、私人照片和其他個人文件等秘密。
- ● 流量的內容在出去或回來的路上都不能輕易被修改。HTTPS流量不僅僅是加密的，它還會接受完整性測試。這可以阻止攻擊者在傳輸過程中偷偷地改變或破壞資料，例如替換銀行帳號、改變支付金額或修改合同細節。
如果沒有HTTPS，在你的瀏覽器和另一端之間的路上有很多地方，不那麼無辜的協力廠商可以輕易地竊聽（和偽造）你的網頁流覽。
這些竊聽者可能是已經知道了你的Wi-Fi密碼的愛管閒事的鄰居、你去的咖啡店的其他使用者、工作局域網中好奇的同事、你的ISP、網路罪犯，甚至是你的政府。
這就提出了一個問題：如果使用普通的舊HTTP時，窺探和偽造網路流量是如此容易，那為什麼我們還有HTTP呢？
還記得Firesheep嗎？
距離一款名為Firesheep的Firefox外掛程式爆紅已經10多年了--如果你在2010年的時候對網路安全感興趣的話，你幾乎肯定會記得這個名字。
當時, 許多網站的安全和隱私是很重要的 - 例如社交網路, 汽車租賃公司, 線上支持論壇，甚至銀行 - 只支付HTTPS的口頭服務.
他們會使用加密連接，否則顯然會很危險，比如在登錄頁面輸入你的實際密碼，或者在支付頁面輸入你的信用卡資訊。
但是，他們會在其他事情上回到HTTP，因為它更快，更簡單--你不需要在每一端花費額外的時間和CPU功率來加密和解密你發送和接收的每個資料包。
忽略加密，專注於其他的事情。
Firesheep所做的是將Firefox瀏覽器變成一個簡單易用的網路嗅探器--這是網路監控工具的專業術語--幾乎任何人都可以使用，不管他們的技術水準如何。
Firesheep會自動嗅出其他人的社交網路連接，等到因為HTTPS加密而無法竊聽的安全登錄部分之後，再將目標鎖定在之後的不安全HTTP流量上。
Firesheep會從那些未加密的HTTP網頁請求中讀取頭資訊，提取表示使用者身份的會話cookie或認證權杖，利用竊取的認證資料冒充不幸的使用者，並劫持他們的帳戶。
所有這些都是自動完成的，就在瀏覽器內，攻擊者可以點選並同時利用任何被駭客攻擊的帳戶。
理論上，你周圍咖啡店裡的任何人都有可能在運行Firesheep，在你的Facebook帳戶裡挖洞，或者在你的Twitter上發帖，而你不會意識到，直到為時已晚。
HTTP被認為是有害的
Firesheep無疑是將密碼學的貓放在了鴿子中間，請原諒我的混合動物比喻。
事實上，Firesheep的故事是一個重要的催化劑，它說服了搜索、社交媒體和線上服務的大多數主要參與者咬緊牙關，一直使用HTTPS。
例如，Facebook在2011年將 "HTTPS始終 "作為一個選項，2012年在北美地區為所有人開啟，到2013年已經幾乎完全放棄了HTTP。
蘋果的App Store在2013年轉為HTTPS；微軟早在2013年就承諾幾乎所有的東西都要加密；Google在2014年讓Gmail只用HTTPS。
到了2015年，Google的搜索排名演算法對沒有提供HTTPS版本的網站進行了降權處理；2017年，這家搜索巨頭開始公開羞辱仍在使用HTTP的登錄和信用卡頁面，給它們貼上 "不安全 "的標籤；到了2018年，Google對任何沒有升級到HTTPS的網站都貼上了這個標籤。
換句話說，HTTP在過去的十年裡，一直在不可阻擋地衰落。
為什麼我們還沒到那一步呢？
嗯，現在是2021年，絕大多數網站現在都支持HTTPS。
想想你有多久沒有發現一個主流網站--事實上，任何網站--沒有提供HTTPS，如果你堅持... ...
...你就會回到我們上面提出的問題：為什麼我們還有HTTP？
更重要的是，如果你在位址欄中輸入一個URL，而不是明確地在開頭寫上https://，為什麼HTTP仍然是你的瀏覽器的默認選擇？
為什麼現在的瀏覽器不認為我們指的是HTTPS，除非我們不顧一切地輸入http://？
答案很簡單，因為還有足夠多的非HTTPS網站留在那裡，默認切換到HTTPS會造成足夠多的過渡性技術麻煩，以至於造成破壞。
可悲的是，由於改善網路安全的善意努力而造成的無意破壞，往往會產生不良和矛盾的後果，即引誘不太瞭解情況的用戶故意降低他們已經擁有的安全性，作為繞過 "問題 "的 "變通辦法"。
儘管如此，根據2020年最後一天在Chromium瀏覽器專案中加入的代碼修改的證據來看，HTTP似乎真的終於要被淘汰了。
當然，Chromium是Google的開源項目，它構成了許多現代瀏覽器的核心，包括Chrome、Edge、Vivaldi、Brave、Opera等（非基於Chromium的主流瀏覽器只有Firefox和Safari）。
這一變化的記錄如下。
(Google所說的omnibox只是我們大多數人對位址欄的稱呼--"omni"，因為你可以用它來搜索和導航。)
不幸的是，我們離這個預設值還有很長的路要走，因為上面的更改通知也指出了。
簡單來說，這意味著最終的目標並不會像完全禁止HTTP那樣引人注目。
目前Chromium開發者的目標似乎是，系統預設會首選HTTPS，但如果需要的話，系統不僅會自動快速回落到HTTP，還會記住哪些網站 "更喜歡 "HTTP，從而幫助HTTP保持更久的生命力。
你怎麼看？
耐人尋味的是，這類改變最終往往會引起奇怪的爭議，你可以從我們上面連結的文章中裸露的安全評論中看到。
一小部分人似乎相信，Google、微軟、火狐、蘋果和其他公司推廣HTTPS只是為了給小企業和社區網站帶來不便，儘管現在HTTPS證書可以免費獲得，而且很容易更新。
但我們認為，對HTTPS的抨擊有點像當你在車上時拒絕系安全帶，並告訴你的朋友，如果他們不堅持系安全帶，你就不會再讓他們搭車了......。
......結果很可能是你的朋友們會悄悄地停止和你一起去任何地方。
所以，如果你還沒有將你的網站升級到支持HTTPS，我們建議你把它作為自己2021年的新年決心!
原文連結
