Chrome增强安全防护功能取消非HTTPS下载

由 feilong · 2020-02-08

谷歌在 Chromium 博客中宣布，Chrome 将开始阻止“混合内容下载”（安全页面上的非 HTTPS 下载），进一步确保安全性，直至最终完全取消对 Chrome 中不安全下载的支持。

根据谷歌提供的时间表，从 Chrome 82（将于 2020 年 4 月发布）开始，Chrome 将逐渐开始警告并随后阻止这些混合内容下载。对用户构成最大风险的文件类型（例如可执行文件）将首先受到影响，随后的发行版还会涵盖更多文件类型。

具体来看，谷歌将这一过程分为六个步骤，分别是：

Chrome 81（将于 2020 年 3 月发布）：显示控制台消息，警告所有混合内容下载；
Chrome 82（将于 2020 年 4 月发布）：警告可执行文件（例如 .exe）的混合内容下载；
Chrome 83（将于 2020 年 6 月发布）：阻止混合内容可执行文件，警告混合内容档案（.zip）和磁盘镜像（.iso）；
Chrome 84（将于 2020 年 8 月发布）：阻止混合内容的可执行文件、归档文件和磁盘镜像；
Chrome 85（将于 2020 年 9 月发布）：警告下载图像、音频、视频和文本的混合内容，阻止所有其他混合内容下载；
Chrome 86（将于 2020 年 10 月发布）：阻止所有混合内容下载。

以上是包括 Windows、macOS、Chrome OS 和 Linux 等在内的桌面平台的计划，Android 和 iOS 则会推迟一个版本，从 Chrome 83 开始发出警告。

在当前版本的 Chrome Canary 或即将发布的 Chrome 81 中，开发人员可以通过启用 chrome://flags/#treat-unsafe-downloads-as-active-content 上的“通过不安全的连接将危险的下载内容视为活动的混合内容”（Treat risky downloads over insecure connections as active mixed content）来激活警告，以进行测试。

谷歌表示，希望进一步限制 Chrome 中的不安全下载，并鼓励开发人员完全迁移到 HTTPS，以避免将来受到限制，同时为用户提供保护。