讓所有瀏覽器都安全

企業(yè)和黑客使用Cookie和各種秘密的網(wǎng)絡(luò)攻擊手段獲取用戶的個(gè)人數(shù)據(jù)。那么本文CHIP將告訴大家如何正確配置自己的瀏覽器，確保各種數(shù)據(jù)采集器無法對(duì)我們?cè)斐晌：Α?img alt="" src="https://cimg.fx361.com/images/2017/02/02/xidn201606xidn20160686-1-l.jpg" style="">

大部分用戶認(rèn)為只需要及時(shí)更新Windows且安裝一個(gè)病毒掃描軟件并確保它能夠獲得最新的病毒數(shù)據(jù)庫(kù)，即可確保網(wǎng)上沖浪的安全。但是，他們?nèi)匀贿z漏了網(wǎng)上沖浪安全的關(guān)鍵一環(huán)：瀏覽器。只有正確設(shè)置瀏覽器和使用適當(dāng)?shù)母郊咏M件才可以真正保護(hù)自己免受攻擊，不僅僅攻擊者嘗試通過瀏覽器入侵系統(tǒng)獲取我們的數(shù)據(jù)，廣告商和情報(bào)機(jī)構(gòu)同樣希望跟蹤我們，獲取信息分析我們的上網(wǎng)行為。瀏覽器中隱藏著許多信息，我們需要費(fèi)不少功夫才能夠刪除特定的信息。

CHIP將告訴大家如何保護(hù)瀏覽器及阻止隱私泄漏和數(shù)據(jù)竊賊、應(yīng)該禁用哪些插件以及如何完美地管理附加組件。除此之外，我們還將介紹如何保護(hù)Android和iOS移動(dòng)版本的瀏覽器，確保我們?cè)谑謾C(jī)上可以安全地進(jìn)行瀏覽。

如何保護(hù)隱私

對(duì)于現(xiàn)在的瀏覽器來說，保護(hù)個(gè)人數(shù)據(jù)是非常困難的。隱藏文件夾和特殊的存儲(chǔ)方式給廣告商和網(wǎng)站經(jīng)營(yíng)者提供了機(jī)會(huì)，盡管我們已經(jīng)采取了保護(hù)措施，但仍然很難避免上網(wǎng)行為被跟蹤并加以分析和利用。

Cookie

在正常情況下，網(wǎng)站通過Cookie保存用戶的登錄數(shù)據(jù)、用戶標(biāo)識(shí)以及相關(guān)的信息，當(dāng)用戶再次登錄網(wǎng)站時(shí)，將能夠自動(dòng)登錄網(wǎng)站，并看到更多自己感興趣的內(nèi)容。Google等許多互聯(lián)網(wǎng)公司也通過這些數(shù)據(jù)來顯示特定的廣告。例如，如果我們查找或者瀏覽運(yùn)動(dòng)鞋的信息，那么很快我們?cè)诟鞣N網(wǎng)站上都能夠看到相關(guān)的廣告，因?yàn)楹芏嗑W(wǎng)站上的廣告都是由Google公司提供的。因而，如果我們不希望被跟蹤，那么應(yīng)該在關(guān)閉瀏覽器時(shí)刪除Cookie，不過，如果我們希望繼續(xù)享受自動(dòng)登錄網(wǎng)站的便利，那么也應(yīng)該定期地刪除Cookie。如果我們使用的是Chrome，那么點(diǎn)擊右側(cè)的菜單按鈕，選擇“設(shè)置”，然后點(diǎn)擊“顯示高級(jí)設(shè)置”，在“隱私”部分點(diǎn)擊“內(nèi)容設(shè)置”按鈕，在“Cookie”下選擇“僅將隱私數(shù)據(jù)保存到您退出瀏覽器為止”選項(xiàng)。

在Firefox中，可以單擊右側(cè)菜單按鈕，選擇“選項(xiàng)”，然后在“隱私”下面“Firefox將會(huì)”選項(xiàng)中選擇“使用自定義歷史記錄設(shè)置”，并選擇“保存，直到我退出Firefox”。如果我們正在使用Internet Explorer或Edge，那么進(jìn)入Internet選項(xiàng)，打開“常規(guī)”選項(xiàng)卡，并選擇“退出時(shí)刪除瀏覽歷史記錄”選項(xiàng)即可。

對(duì)于Android設(shè)備，我們應(yīng)該通過類似的方法像使用桌面瀏覽器一樣地清理Cookie。而對(duì)于iOS，用戶可以自定義的設(shè)置不多，但是在Safari上我們可以嚴(yán)格禁止創(chuàng)建Cookie，可以通過設(shè)置菜單選項(xiàng)選擇“阻止Cookie”，并選擇“始終阻止”來禁止創(chuàng)建Cookie。

FlashCookie

然而，僅僅刪除瀏覽器的Cookie是不夠的。網(wǎng)站經(jīng)營(yíng)者有更多的機(jī)會(huì)清楚地識(shí)別我們的身份。除此之外，我們通過瀏覽器能夠刪除的只是一些正常的Cookie，仍有一些所謂的Super Cookie繼續(xù)存在著：這些背信棄義的家伙即使在我們重新安裝瀏覽器之后仍然存在著，例如Flash播放器的Cookie。

為了刪除這些信息，我們需要在瀏覽器上打開“http：//www.macromedia.com/support/documentation/de/flashplayer/help/settings_manager03.html”，通過“AdobeFlashPlay設(shè)置管理器”進(jìn)行操作。在打開的窗口中，將“全局存儲(chǔ)設(shè)置”的滑塊拉到最左邊，同時(shí)取消下方兩個(gè)選項(xiàng)的選中狀態(tài)。通過上述設(shè)置，可以阻止網(wǎng)站繼續(xù)將Flash Cookie存儲(chǔ)在電腦上。除此之外，我們也可以通過完全卸載Flash播放器來進(jìn)一步地提高安全性，現(xiàn)如今大多數(shù)網(wǎng)站已經(jīng)開始使用Web標(biāo)準(zhǔn)的HTML5來處理視頻元素，我們可以不必?fù)?dān)心影響網(wǎng)絡(luò)應(yīng)用的問題。這可以徹底解決Flash Cookie的問題，臭名昭著的Flash播放器總是不斷地出現(xiàn)安全漏洞，很容易受到黑客的攻擊，卸載它也可以對(duì)系統(tǒng)的安全性有一定的幫助。而卸載它最理想的工具是Flash Player Uninstaller（helpx.adobe.com/flash-player/kb/uninstall-flash-player-windows.html）。

在移動(dòng)系統(tǒng)中，只有Android支持Flash，并且只有個(gè)別瀏覽器支持。而蘋果公司的iOS，所有主要的應(yīng)用都使用HTML5，所以如果我們沒有使用一個(gè)特意支持Flash的瀏覽器，那么在智能手機(jī)或平板電腦上我們無需為這一問題做任何事情。

隱藏瀏覽器存儲(chǔ)區(qū)域

除了完全正常的Cookie之外，網(wǎng)站還可以在瀏覽器中使用一個(gè)特定的存儲(chǔ)區(qū)域即所謂的文檔對(duì)象模型（Document Object Model，簡(jiǎn)稱DOM）。相對(duì)于普通Cookie只有幾個(gè)KB的大小，DOM Cookie可以最多達(dá)到10MB。盡管很少有網(wǎng)站開發(fā)人員利用它，但是我們?nèi)匀恍枰谙到y(tǒng)上禁止此類Cookie。通過瀏覽器設(shè)置刪除Cookie通常也會(huì)刪除DOMCookie，但是只有當(dāng)我們刪除整個(gè)瀏覽器歷史記錄時(shí)才可以。

完全禁用DOM Cookie是更好的方法，為此，如果使用Chrome瀏覽器，那么我們可以進(jìn)入設(shè)置，單擊“顯示高級(jí)設(shè)置”，然后選擇“阻止網(wǎng)站設(shè)置任何數(shù)據(jù)”選項(xiàng)，該設(shè)置將適用于普通的Cookie和DOM Cookie。如果你只是想刪除DOM Cookie，那么可以使用擴(kuò)展程序Ghostery。在Firefox中可以在地址欄中輸入“about：config”打開設(shè)置頁(yè)面，響應(yīng)警告信息，然后在設(shè)置選項(xiàng)中查找“dom.storage.enabled”，并雙擊將其設(shè)置修改為“false”。在Internet Explorer和Edge中，進(jìn)入Internet選項(xiàng)并轉(zhuǎn)到“高級(jí)”選項(xiàng)卡，取消安全設(shè)置中的“啟用DOM存儲(chǔ)”的選中狀態(tài)即可。

數(shù)據(jù)的安全成本

還有其他類型的Super Cookie在系統(tǒng)的更深處：HTTP嚴(yán)格傳輸安全（HTTP Strict Transport Security，簡(jiǎn)稱HSTS）。HSTS是互聯(lián)網(wǎng)工程任務(wù)組所發(fā)布的互聯(lián)網(wǎng)安全策略機(jī)制，網(wǎng)站可以選擇使用HSTS策略，在用戶的電腦上存儲(chǔ)Cookie以便將來確定瀏覽器可以通過加密連接與服務(wù)器進(jìn)行通信，以減少會(huì)話劫持風(fēng)險(xiǎn)。但是根據(jù)愛德華·斯諾登的舉報(bào)，HSTS Cookie被情報(bào)機(jī)構(gòu)用作跟蹤C(jī)ookie。所以是否繼續(xù)允許HSTS Cookie的使用我們必須自行取舍，而取舍的關(guān)鍵取決于我們需要的是更安全還是更多的隱私。目前，HSTS Cookie所保護(hù)的會(huì)話劫持比較少見，它們更多的是被用于跟蹤用戶的目的，因?yàn)镠STSCookie沒有到期日，并且能夠在瀏覽器刪除Cookie之后繼續(xù)存在。如果我們使用Chrome瀏覽器，即使在使用隱身模式的情況下也無法保護(hù)我們受到HSTS Cookie的追蹤，因?yàn)閷?duì)于Google來說，安全重于隱私。而相比之下，Mozilla的Firefox瀏覽器以及微軟的IE和Edge更強(qiáng)調(diào)隱私。同樣地，類似的情況也出現(xiàn)在這些瀏覽器的移動(dòng)版本上。

如果HSTS Cookie不想離開我們的系統(tǒng)，那么擺脫它們的難度根據(jù)使用的瀏覽器各有不同。最復(fù)雜的是Firefox，因?yàn)槲覀儽仨殞?duì)相關(guān)的文件進(jìn)行編輯，同時(shí)還需要修改文件的屬性。首先，我們需要在地址欄中輸入“about：support”打開“故障排除信息”頁(yè)面，單擊“配置文件夾”的“顯示文件夾”案例，Windows資源管理器將打開，在資源管理器中查找文件“SiteSecurityServiceState.txt”，使用Windows的編輯器打開此文件，按[Ctrl]+[A]和[Del]刪除文件的所有內(nèi)容，然后按[Ctrl]+[S]保存文件。接下來，為了防止未來新內(nèi)容被存到文件中，我們還需要對(duì)文件進(jìn)行寫保護(hù)。要實(shí)現(xiàn)這一目的，我們需要右擊該文件，然后在快捷菜單中選擇“屬性”，并選中“只讀”復(fù)選項(xiàng)。

在Chrome中這是很容易的事情，我們可以在地址欄上打開“chrome：//net-internals/#hsts”，通過該頁(yè)面即可清除所有的HSTS Cookie。在Internet Explorer 11和Edge中也是很容易的，進(jìn)入Internet選項(xiàng)，在“常規(guī)”選項(xiàng)卡中選擇“刪除”按鈕，即可清除“Cookie和網(wǎng)站的數(shù)據(jù)”。

如何抵御數(shù)據(jù)竊賊

保護(hù)我們的隱私和數(shù)據(jù)安全，除了需要小心廣告商和各種情報(bào)機(jī)構(gòu)之外，還需要特別注意一個(gè)對(duì)個(gè)人用戶數(shù)據(jù)非常感興趣的危險(xiǎn)群體：黑客?？ò退够粋€(gè)統(tǒng)計(jì)顯示，網(wǎng)絡(luò)犯罪分子利用瀏覽器漏洞實(shí)施的攻擊占所有攻擊的近60%，其原因是，只有少數(shù)用戶會(huì)及時(shí)更新自己的瀏覽器。

自動(dòng)更新

要降低受到攻擊的風(fēng)險(xiǎn)，我們需要及時(shí)更新，確保瀏覽器總是最新的。大多數(shù)瀏覽器能夠自動(dòng)執(zhí)行更新，在Firefox中，在地址欄中輸入“about：preferences#advanced”，并選擇“更新”和啟用選項(xiàng)“自動(dòng)安裝更新”即可。而Chrome的自動(dòng)更新功能默認(rèn)被激活，但美中不足的是如果我們不經(jīng)常關(guān)閉瀏覽器而只是習(xí)慣將它最小化，那么瀏覽器無法完成更新。當(dāng)瀏覽器的菜單圖標(biāo)改變了顏色，我們需要知道，這意味著有一個(gè)新的更新可用。如果它是紅色的，那么更新已經(jīng)出現(xiàn)了7天，當(dāng)它的顏色是綠色時(shí)，這意味著更新已經(jīng)出現(xiàn)了兩天。

微軟的Internet Explorer和Edge能夠通過Windows Update功能自動(dòng)更新，因此我們應(yīng)該啟用Windows更新的自動(dòng)更新服務(wù)。我們可以在控制面板下找到并打開“更新”，啟動(dòng)我們需要的更新功能。而在移動(dòng)通信系統(tǒng)中，應(yīng)用程序?qū)⒆詣?dòng)完成系統(tǒng)漏洞的修復(fù)工作。

防御JavaScript攻擊

網(wǎng)站客服人員可以利用JavaScript編程語言直接在瀏覽器窗口中啟動(dòng)小程序，但是除了正常的用途之外，JavaScript也可以被作為攻擊的手段，例如通過跨站點(diǎn)腳本的缺陷，攻擊者可以在瀏覽器上顯示一個(gè)假的網(wǎng)站登錄界面。而實(shí)現(xiàn)類似的攻擊要求我們的瀏覽器啟動(dòng)JavaScript，為此，我們可以使用插件NoScript控制JavaScrip的適用范圍，該插件提供適用于各種熱門瀏覽器的版本。

在iOS上禁用JavaScript是有必要的，因?yàn)楣粽呖梢酝ㄟ^JavaScript顯示一個(gè)看起來有點(diǎn)像蘋果ID登錄界面的對(duì)話框，攻擊者通過類似的方式可以獲取用戶的賬戶數(shù)據(jù)。打開“設(shè)置”并在左側(cè)選擇“Safari”，在瀏覽器設(shè)置中選擇“高級(jí)”，并通過滑塊將“JavaScript”設(shè)置為關(guān)閉，類似的設(shè)置也適用于第三方開發(fā)商的瀏覽器。而在Android上，我們將需要為每一個(gè)瀏覽器分別進(jìn)行配置，一般情況下，我們可以完全禁用JavaScript，如果對(duì)于應(yīng)用程序的配置有疑問，則可以參考本文中的表格。

防御插件攻擊

另一個(gè)需要特別注意的是瀏覽器的插件，即使瀏覽器是安全的，但攻擊者仍然可以通過插件的漏洞入侵電腦。通常，大部分用戶都沒有注意及時(shí)更新插件，這將導(dǎo)致插件的安全漏洞此前未被修復(fù)。如果我們使用Chrome，那么在地址欄中輸入“chrome：//extensions”，然后點(diǎn)擊“開發(fā)模式”，再點(diǎn)擊“立即更新擴(kuò)展程序”。如果我們使用Firefox，輸入“about：addons”，并按下上方的菜單按鈕，確?！白詣?dòng)更新附加組件”選項(xiàng)被選中，這樣，瀏覽器將會(huì)自動(dòng)查找附加組件的新版本。而在IE瀏覽器中，我們將不得不打開“管理加載項(xiàng)”，并手動(dòng)檢查每一個(gè)加載項(xiàng)，看一下它是否能被更新。

防御病毒廣告

過去，廣告橫幅被利用于散播惡意軟件，用戶只需訪問網(wǎng)站即可能被感染。為此，Google決定不再使用Flash內(nèi)容的廣告橫幅，但是這并不能夠完全擺脫危險(xiǎn)，而且有理由相信未來惡意軟件也可能通過HTML5廣告入侵系統(tǒng)。因而，如果希望100%地避免通過廣告入侵系統(tǒng)的病毒廣告，那么攔截所有廣告是最佳的方法，但是美中不足的是這樣將會(huì)剝奪了網(wǎng)站獲得收入的一個(gè)重要來源。當(dāng)然，我們也可以在使用廣告攔截的同時(shí)，指定不攔截可信任的網(wǎng)站。使用Adblock Plus可以完全滿足我們的需要，此插件可用于所有熱門的桌面瀏覽器以及Android和iOS上的瀏覽器。

注意：在iOS上我們必須在Safari啟用Adblock，而在Android上，我們有兩個(gè)選擇，一個(gè)是使用Chrome瀏覽器，一個(gè)是使用Firefox瀏覽器，它們都可以使用Adblock的廣告過濾功能。不過，目前病毒廣告尚不多見，即使沒有攔截廣告也可以相對(duì)安全地上網(wǎng)沖浪。