来之Google IO的声音：Chrome将进一步保护用户的隐私

在今年的 Google I/O 上，Chrome 宣布将进一步提升隐私性和安全性，今天 Chromium 官方博客发表了一篇文章，简单分享给大家。

Google 开发 Chrome 的目标就是构建一个快速、简单、安全、稳定的服务，实话实说，他们做的很好，浏览器可以说是互联网上最大的 SaaS 软件了，而 Chrome 无疑是做的最好的，Google 将他所有的设想通过 Chrome 实现出来了。最近 Edge 也将采用 Chromium 内核，更加说明了这一点。

关于浏览器安全，本次 Chrome 提出了两个解决方案，第一个就是 Cookie 工作机制的改变。

基本的目标就是让 Cookie 的使用更透明，以及进一步控制对 Cookie 的使用。

Cookie 不属于 HTTP 协议的一部分，但对 Web 的贡献却非常大，但在设计上它却是脆弱的，带来了很多安全问题。

Cookie 设计的本意是为了保持会话，比如可以记住用户的登录状态，但现在 Cookie 已经被滥用了，比如用于跟踪用户在 Web 上的浏览行为，以便基于用户的行为提供广告（或者其他可盈利的东西）。

广告平台为了跟踪用户行为，就会跨站设置各种类型的 Cookie，但对于浏览器来说，它不知道 Cookie 是源站（用户记录用户登录状态）还是广告平台设置的，所以无法对 Cookie 进行各类控制。

很多用户为了安全性，会在 Chrome 控制台上清除所有 Cookie，本意是为了清除其他广告商设置的 Cookie，但由于Chrome无法知晓Cookie的属主，所以只能全部清除，此时用户的会话就退出了，给用户非常不好的体验。

为了解决这个问题，Chrome 修改了 Cookie 部分工作方式，它让开发人员显示指定那些 Cookie 可以跨站设置，那些 Cookie 只能自己设置，这个机制背后的技术方案就是 SameSite cookie。

这一机制也会让用户更加透明的了解到那些 Cookie 是重要的，那些是广告商设置的，这样就可以有选择性的清除 Cookie。

这个机制另外一个好处就是能够让 Cookie 避免 CSRF 这样的跨站攻击。

基于这个机制上，如果你想跨站设置 Cookie，必须采用 HTTPS 连接，当然随着 HTTPS 的推广，这一技术的实行已经没有什么障碍了，也不是一个新技术。

除了更改 Cookie 的工作机制，另一个提升安全性的解决方案就是对“fingerprinting”攻击方式进行限制。

一些广告商或者不法人员为了跟踪用户行为，想了很多技术方法，采用更加隐蔽的方法控制Cookie，“fingerprinting”不是一种攻击方法，而是由多种攻击组成的。

“fingerprinting”更加的隐蔽，也不受用户控制，它的破坏力更大，Chrome要做的就是识别各类“fingerprinting”攻击，从而保障用户的安全。

关于“fingerprinting”和Cookie的危险性，我后面会系统学习下，然后再风险给大家：），大家也可以购买我的书《深入浅出HTTPS：从原理到实战》，了解更多的 Web 安全知识。

公众号