Google正在推广HTTPS

摘要： Google正在推进HTTPS的普及。Chrome浏览器的已有特性将对非安全站点禁用，同时新的特性将只支持HTTPS。HTTPS正被越来越多的站点采用，避免了Web中敏感数据的不安全传输。

作者： Manuel Pais

正文：

Google已将现有Chrome特性在非安全站点上禁用，同时新的特性将只支持HTTPS，意在推进HTTPS的普及。Chrome浏览器自50版本以后已禁止通过HTTP做地理定位和使用getUserMedia功能（该功能可访问用户的摄像头或话筒），并即将实施对加密媒体扩展、应用缓存、设备移动/方向检测等特性的限制。该做法的合理之处在于，所有这些特性都涉及敏感数据，如没有采用HTTPS，这些敏感数据在传输时将会曝露于易受攻击的Web环境当中。禁用其余特性的时间表依然处于讨论中。

同样，一些最新的特性也可能受到攻击，它们将只支持HTTPS。例如Service Workers、Push Notifications和向手机桌面添加网站快捷方式（所有这些功能源自原生的移动应用，现被广泛应用于Progressive Web Apps中）。此外还包括信用卡信息的自动填充和最新推出的支付请求API。

除了上述开发者特性，Google还尝试通过改进浏览体验提升安全意识。例如，如果页面中包含了不安全的表单，使用了“非安全”的字符串来请求金融或敏感信息，Chrome将会给出明确的提示信息（这是56版本的功能，计划于2017年1月推出）。有兴趣的组织可以通过设置Chrome Canary版的#mark-non-secure-as标识预览用户界面上所发生的变化。

最近一些进展让HTTPS的迁移变得很顺畅。最近在阿姆斯特丹召开的第一届O'Reilly安全大会上，Google Chrome安全产品经理Emily Schechter在演讲中高度评价了Let's Encrypt和CloudFlare最新提供的服务的重要性。Let's Encrypt使用赞助和众筹模式提供免费证书以及自动安装程序（其重要性如今在DevOps领域与日俱增），这种模式得到著名的Coding Horror博主Jeff Atwood的大力支持。CloudFlare是一家CDN提供商，现在提供了免费的SSL链接，让更多的人用得起。

总而言之，Schechter的演讲给出了十分真实的HTTPS业务案例，强调HTTPS是所有网站的最低安全等级，并提供证据表明大部分HTTPS的传统挑战已不再适用。

一些组织已接受建议迁移到HTTPS，其中包括卫报和BBC，这在某种程度上可归因于Google的推动。Schechter在演讲中还引用了其它的成功案例，例如Housing.com和AliExpress，HTTPS不仅改进了安全性，而且基于使用仅支持HTTPS的特性，切实地提高了用户转化率（还应考虑到Google的SEO算法将优先对待HTTPS内容）。

Chrome和Firefox所给出的数据都表明，现在全世界范围内超过一半的网页采用了HTTPS。

查看英文原文：Google Pushing for HTTPS