这四位谷歌美女安全研究员决心颠覆Web安全观

这四位谷歌美女安全研究员决心颠覆Web安全观

去年8月，谷歌浏览器安全团队负责人帕里莎·塔布里兹( )送给她的团队成员一件时尚的运动衫，以展现团队精神，上面醒目地印着“(安全部门)”字样，并在用户使用时向其发出警告标志。访问不安全的网站：带有“X”的红色挂锁。

但几天后，当大不里士队成员安德里亚娜·波特·费尔特穿上这件运动衫时，她的姐姐看着长方形上挂着的小弯锁图标，天真地问道：为什么？ 想要在运动衫上印上红色钱包吗？ 对于大不里士的团队来说，认为普通网民能够区分钱包和挂锁符号的错误假设代表了现代浏览器的一个根本问题。

大不里士的团队帮助数十亿人评估他们访问的网站的安全性，但只有一个神秘的图标可以区分锁定连接的加密网站和未受保护的网站——这可能会让用户受到损害，或者在下一次被黑客嗅探出来。星巴克的餐桌上，或者侵入您的家庭路由器以允许您的电子邮件被窃听，或者被您的互联网服务提供商秘密注入广告。 如今大多数浏览器用来描述安全标准的一组象形图非常复杂，充其量只是误导性的。 最坏的情况是无意的不作为，甚至是对网站缺乏安全性的不诚实。

，谷歌安全团队负责人

这就是为什么安全团队首次对全球近一半不使用强加密的网站进行点名羞辱。 他们不给任何面子，直接标记了数千个未使用HTTPS加密连接的热门网站域名。 上面清楚地印着“Not（不安全）”字样。此过程可能会导致在线安全标准发生变化。

”

有人说我们不能让近一半的网络看起来很可怕，人们会对互联网产生恐惧。 但对我们来说，问题是要努力对用户诚实。 如果没有 HTTPS，用户或 Web 服务就不必期望网站上的内容不会被篡改或窃听。 这才是真正疯狂和非理性的事情。

根本没有脸

从明年1月开始，网络安全模式将被颠覆：取消目前仅对加密配置不正确的HTTPS网站发出警告的做法，转而转向任何接受未经加密的用户名和密码或信用卡号的网站。 “小危险信号。这个警告​​永远不会被误解，它会出现在地址栏的左侧。

谷歌新警告方案：顶部表示HTTPS加密网站，中间表示非HTTPS网站，底部表示配置不正确的HTTPS网站

随后，该团队还计划标记另一类在 2017 年截止日期之前仍未使用 HTTPS 的网站。 候选网站类别为：所有以隐身模式浏览的未加密页面； 所有提供下载的非 HTTPS 站点。

检查需要注册的论坛、下载网站和媒体门户是否缺少明显的绿色挂锁。 您会发现其中许多未通过测试并触发警报。 在接下来的几年里，我们的计划是让越来越多的网站兼容 HTTPS。

“这真的很重要，”HTTPS 推广非营利组织 Let's（Let's ）的创始人 Josh Ash 说。 “没有比浏览器用户界面更好的动机迁移到 HTTPS 了。”

但对于许多网站管理员来说，谷歌的加密羞辱方法是令人痛苦的。 启用 HTTPS 并不像拨动开关那么简单。 例如，许多具有广告和视频等元素的复杂媒体网站，为了满足谷歌的标准，必须依赖这些外部数据源来加密每一段内容。

例如，《连线》杂志4月份宣布将域名下的所有网页切换为HTTPS，但花了五个月的时间才解决第三方内容不安全的问题，但修改网址一直在进行中保持网站的搜索引擎结果排名靠前。 《纽约时报》在2014年底曾发出建议，要求所有新闻网站在2015年底采用HTTPS，但目前尚未达到标准。

然而，激怒网站管理员的是 HTTPS 的安全优势所付出的微小代价。 “肯定有人觉得自己太早被迫陷入这一切。但网络上发生的每一次变化都是如此。这就是我们必须采取行动的地方。”

如此积极地进行 HTTPS 迁移运动有真正的商业理由。 与苹果应用商店的闭源环境不同，谷歌青睐开放网络，其搜索引擎在开放网络中占据主导地位，其广告收入吞噬了该公司800亿美元年利润的绝大部分。 大不里士解释说，为了与移动应用程序竞争，谷歌希望网页能够触及更深层的计算机资源，并像移动应用程序一样捕获敏感信息，例如位置和离线数据。 但如果网络触角想要进一步扩展到我们的个人生活，首先它们必须是安全的。 “没有人希望中间人（拦截和窃听 HTTP 数据的攻击）获取此信息。”

作为网络安全革命的一种进度条， 的团队于 11 月 3 日在 网站上发布了一组新数据，反映了通过浏览器访问的加密网站的百分比，按国家和操作系统细分。 分类。

数据显示，该平台约51%的流量是加密的，这一数字在MacOS平台上为60%。 稍稍落后，其加密流量为 43%，这可能是因为许多用户的敏感智能手机连接是通过应用程序而不是浏览器进行的。 按国家/地区划分，美国 60% 的用户连接是加密的，而土耳其只有 47%，日本则更少，只有三分之一是加密的。

表示，只要全球操作系统上加密连接的覆盖率没有达到100%，他们就会继续收紧HTTPS要求。 最终，他们希望使网络加密变得如此普遍，以至于不再需要象征 HTTPS 的锁定图标——用户可以假设他们的流量已加密，除非出现警告。 “我决心将网络安全提升到这个水平。因为没有 HTTPS，我们就没有真正的安全。”

解决人类问题

自10年前成为谷歌安全工程师以来，一直以白帽黑客的精神做着这份工作，并深刻地认识到安全问题不仅仅是技术问题，更是人的问题。 例如，在发现并修复了谷歌代码中重复出现的错误后，她决定转而解决谷歌程序员的问题。 因此，2010年，她和谷歌同事建立了“”项目——针对程序员的信息安全培训速成班，教程序员如何发现、使用和填补自己代码中的漏洞。

2011 年，当安全团队的同事发现 HTTPS 证书颁发机构遭到黑客攻击时， 对 HTTPS 产生了兴趣。 攻击者利用其特权欺骗 Gmail 等 网站的虚假加密连接，并窃听访问这些虚假网站的用户。 这次袭击似乎是由伊朗政府实施的，影响了超过 30 万受害者，其中绝大多数是伊朗人。 大不里士的父亲是伊朗人，经常返回家乡德黑兰。 因此，大不里士对这次袭击有着个人共鸣。 她回忆起伊朗博客对此事件的评论：“对你来说，假证书只不过是被盗的密码或个人信息。但对于数百万其他伊朗人来说，这意味着牢狱之灾。” 、酷刑，甚至死刑。”

因此， 在 2014 年接管安全团队后，她专注于让打开用户视野的整个网络变得更加安全，而不仅仅是其自身。 一直努力维护先进的安全性。 它是第一个实施严格“沙箱”检测、自动安全更新安装以及浏览器安全漏洞奖励的流行浏览器。 然而，大不里士推广HTTPS意味着超越代码本身，将整个Web安全拖向HTTPS标准。

也许对团队利用网络安全最有利的杠杆是地址栏中显示的标记网站加密的锁定图标。 但浏览器和其他浏览器目前使用反直觉的系统来引导用户保护网站，仅在加密连接看起来可疑时发出警告，例如当网站的证书无效或过期时。 但如果用户访问一个完全没有加密的网站，无论页面要求提供信用卡、密码还是其他敏感数据，当你向窃听者敞开心扉时，浏览器都不会提示你。 审查加密连接的标准并简单地放开非加密连接不是可以吗？

Felt 领导了 HTTPS 部署的安全团队

当大不里士的团队考虑如何重新设计这个漏洞百出的系统时，他们首先进行了一项咨询调查。 波特·费尔特 ( Felt) 拿起了加密货币推广大棒，与其他 员工和伯克利研究人员一起对 1,300 多人进行了一项调查，了解他们对网络浏览器安全警告的看法。 两年来，他们远赴印度、巴西和印度尼西亚，测试人们对安全指标的理解，比如曾经困扰波特·费尔特妹妹的红锁。 在印度，波特·费尔特询问了十几个互联网新手，大多数人都猜不出锁符号的含义。 “这不再是加密的问题，”大不里士说。 “如何向色盲或不会说英语的人，或者认为锁是钱包的人发出警告信号，是一个人类问题。”

再见红色钱包

在去年夏天的可用隐私和安全研讨会上，波特·费尔特和他的研究同事展示了他们的发现，表明当前安全标牌的失败。 当用户使用非加密的HTTP页面时，只有大约1/5的人会将地址栏左侧的白色页面图标理解为“不安全”。 当被问及选择哪个符号来表示站点安全时，选择红色挂锁和绿色挂锁的人数各占一半。 但当看到中间有感叹号的黑色圆圈并附有“HTTP”一词时，38%的人认为该网站不安全，并表示将立即关闭该页面。 如果该符号改为带感叹号的红色三角形和“不安全”字样，超过2/3的受访者表示会立即逃离该网页。

正在考虑的一些安全标志：第一行表示站点加密，第二行表示缺乏加密

最终， Felt 团队选择了一个系统，试图引导用户积极主动地对待安全，而不是对安全麻木不仁。 目前，当用户访问非加密网站时，会显示一个白色圆圈，中间有一个“i”，而不是感叹号“！”，意图“邀请（）”用户点击获取更多信息。 从一月份开始，“i”在很多情况下都会伴随着简单粗暴的“Not（不安全）”一词。 大不里士希望，在未来几年中，HTTPS 能够发展到可以在所有旧版 HTTP 站点上放置红色三角形感叹号的程度。 “当我们变得不耐烦时，我们会尝试将所有内容标记为不安全。很多页面不是 HTTPS，在我看来这很令人尴尬。它不会自行修复。”

该团队正在采取胡萝卜加大棒的方法：用更新的安全警告标志惩罚落后者，同时继续努力使 HTTPS 更容易访问。 安全团队开发了工具来评估 HTTPS 站点的组件、发现触发警告的漏洞并向开发人员进行解释。 还向非营利组织 Let's 捐赠了 35 万美元的资金，以支持他们免费分发大量加密证书的工作。

即便如此，波特·费尔特和塔布里兹表示，他们收到了电子邮件和开发者论坛评论，指责他们行动太快、破坏了网站并“毁了生活”。 但大不里士仍然坚持不为所动的“全面安全”时间表缓慢推进。

“很容易说服自己放弃做某事，而不是继续前进，”她说。 “但我已经建立了一个强大的内心，不受批评。”

译自《连线》杂志 原作者：Andy

- - -

在订阅账号中，长按公众号“置顶”