微闻

标签： HTTPS

  • 谷歌要移除Chrome中的HTTPS安全锁图标

    谷歌将移除 Chrome 中的HTTPS安全锁图标，因为几乎所有的钓鱼网站都使用HTTPS

    谷歌宣布，长期以来被认为是网站安全和可信度标志的锁图标将很快更换为一个新图标，该图标并不暗示网站是安全的或应该被信任的。

    虽然首次引入是为了表明网站正在使用 HTTPS 加密来加密连接，但现在不再需要锁符号，因为现在超过 99% 的网页都是通过 HTTPS 在 Google Chrome 中加载的。

    其中还包括在网络钓鱼攻击或其他恶意目的中用作登录页面的网站，旨在利用锁定图标来诱使目标认为他们可以免受攻击。

    “这种误解并非无害——几乎所有钓鱼网站都使用 HTTPS，因此也会显示锁图标，”谷歌表示。

    “误解如此普遍，以至于包括FBI在内的许多组织都发布了明确的指导意见，即锁图标并不是网站安全的标志。”

    锁图标将在 Chrome 117 中更改为“调音图标的变体”。

    —— Bleeping Computer

  • CloudflareHTTPS证书来源有变

    网传 Cloudflare 颁发的免费证书中已包含 GTS 证书

    目前的 Cloudflare HTTPS 证书来源：
    – Cloudflare
    – Let’s Encrypted
    – Google

    [认证慢讯]

  • 如何使用HTTPS防止访客的隐私被泄露

    了解HSTS，当访客未声明协议进入某个网站时默认采用http协议，此后网站服务器才会将其重定向到https的网址。

    这里包含一个隐患，因为第一次访问是未经过加密的，这显然不利于保护访客的隐私。

    HSTS会告诉浏览器强制让此后所有的访问都必须使用https协议。

    通过审核的网站还可以直接内置到主流浏览器规则中，即使该访客从未打开过你的网站，浏览也会强制TLS加密。

    提交申请：https://hstspreload.org

    采用cloudflare的网站可以很方便地开启HSTS。

    但是要当心，你的网站必须始终开启Https，否则将没有任何人可以访问你的网站。