用技术解决体验问题:Chrome 43将取消地址栏中的“黄色小三角”警告

2015-04-21 +3 311600人围观 ,发现 5 个不明物体 WEB安全资讯

有些时候你会发现,在Google Chrome浏览器的地址栏前会出现“黄色小三角”警告——你正在浏览的HTTPS网站包含第三方的内容。这种安全提示虽然有必要,但用户体验的确不怎么样。好在Google总有办法,他们将在最新版本Chrome中用技术解决这一产品体验问题。

FreeBuf百科:什么是混合内容?

如果你的网站传输数据使用的是HTTPS协议,但它在加载如图像之类的内容时,通过的却是HTTP非安全协议,我们就认为你的网站只有部分加密连接。

这种只有部分加密的通信手段,其中的未加密HTTP内容可能会被黑客通过各种手段进行篡改。黑客通过中间人(MITM)攻击就可以进行种种操作。而上述这样存在风险的网页称为混合内容页面。

升级不安全资源

对于市场份额愈加扩大的Google Chrome浏览器,下一个发布的Chrome 43会更加安全。现在Google Chrome浏览器中如果存在HTTPS网站有未加密的HTTP资源,也就是上文所说的混合内容网页,会出现一个“黄色小三角”警告标志。而采用了新技术后的Chrome 43,则不再加上警告标志,直接通过技术手段解决非安全浏览的隐患。

Chrome 43现在还是测试版本,在五月份会发布正式版,它在里面可能不会标记任何混合内容页面有关的警告。这得感谢新版浏览器遵循的内容安全策略(CSP),Chrome会直接升级不安全的资源。

Google公司表示

由于检查混合内容并不简单,所以在下一个版本的Chrome浏览器会引入新技术。这次升级不安全资源意味着,Chrome浏览器会在每次取得网络数据之前,把不安全的资源的传输升级为HTTPS级别。

如何提升为HTTPS级别

如果你是网站管理员或者开发者,能控制HTTP包的内容的话,你可以在响应头里加上:

Content-Security-Policy: upgrade-insecure-requests

如果该不安全的资源是不可控的,是别人的网站,你就可以在你浏览的网页里的<head>标签里加上:

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

Google公司介绍了一些特性:

黄色三角警示符

现在Google浏览器提供给开发人员和系统管理员的暂时性安全手段,即在用户浏览带有混合内容的网页时,地址栏会出现一个带锁的黄色三角警示符号。用户看到后,可以自行决定是否要关掉这个不安全的网页。

不仅如此,Google还宣布将在六月底将自己的广告平台用HTTPS加密,保护普通用户的隐私和安全。

*参考来源thehackernews,由FreeBuf小编dawner翻译整理,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

发表评论

已有 5 条评论

取消
Loading...
dawner

黎明已经过去,黑暗就在眼前!

289 文章数 418 评论数

特别推荐

推荐关注

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php