讓所有瀏覽器都安全

企業和黑客使用Cookie和各種秘密的網絡攻擊手段獲取用戶的個人數據。那么本文CHIP將告訴大家如何正確配置自己的瀏覽器，確保各種數據采集器無法對我們造成危害。

大部分用戶認為只需要及時更新Windows且安裝一個病毒掃描軟件并確保它能夠獲得最新的病毒數據庫，即可確保網上沖浪的安全。但是，他們仍然遺漏了網上沖浪安全的關鍵一環：瀏覽器。只有正確設置瀏覽器和使用適當的附加組件才可以真正保護自己免受攻擊，不僅僅攻擊者嘗試通過瀏覽器入侵系統獲取我們的數據，廣告商和情報機構同樣希望跟蹤我們，獲取信息分析我們的上網行為。瀏覽器中隱藏著許多信息，我們需要費不少功夫才能夠刪除特定的信息。

CHIP將告訴大家如何保護瀏覽器及阻止隱私泄漏和數據竊賊、應該禁用哪些插件以及如何完美地管理附加組件。除此之外，我們還將介紹如何保護Android和iOS移動版本的瀏覽器，確保我們在手機上可以安全地進行瀏覽。

如何保護隱私

對于現在的瀏覽器來說，保護個人數據是非常困難的。隱藏文件夾和特殊的存儲方式給廣告商和網站經營者提供了機會，盡管我們已經采取了保護措施，但仍然很難避免上網行為被跟蹤并加以分析和利用。

Cookie

在正常情況下，網站通過Cookie保存用戶的登錄數據、用戶標識以及相關的信息，當用戶再次登錄網站時，將能夠自動登錄網站，并看到更多自己感興趣的內容。Google等許多互聯網公司也通過這些數據來顯示特定的廣告。例如，如果我們查找或者瀏覽運動鞋的信息，那么很快我們在各種網站上都能夠看到相關的廣告，因為很多網站上的廣告都是由Google公司提供的。因而，如果我們不希望被跟蹤，那么應該在關閉瀏覽器時刪除Cookie，不過，如果我們希望繼續享受自動登錄網站的便利，那么也應該定期地刪除Cookie。如果我們使用的是Chrome，那么點擊右側的菜單按鈕，選擇“設置”，然后點擊“顯示高級設置”，在“隱私”部分點擊“內容設置”按鈕，在“Cookie”下選擇“僅將隱私數據保存到您退出瀏覽器為止”選項。

在Firefox中，可以單擊右側菜單按鈕，選擇“選項”，然后在“隱私”下面“Firefox將會”選項中選擇“使用自定義歷史記錄設置”，并選擇“保存，直到我退出Firefox”。如果我們正在使用Internet Explorer或Edge，那么進入Internet選項，打開“常規”選項卡，并選擇“退出時刪除瀏覽歷史記錄”選項即可。

對于Android設備，我們應該通過類似的方法像使用桌面瀏覽器一樣地清理Cookie。而對于iOS，用戶可以自定義的設置不多，但是在Safari上我們可以嚴格禁止創建Cookie，可以通過設置菜單選項選擇“阻止Cookie”，并選擇“始終阻止”來禁止創建Cookie。

FlashCookie

然而，僅僅刪除瀏覽器的Cookie是不夠的。網站經營者有更多的機會清楚地識別我們的身份。除此之外，我們通過瀏覽器能夠刪除的只是一些正常的Cookie，仍有一些所謂的Super Cookie繼續存在著：這些背信棄義的家伙即使在我們重新安裝瀏覽器之后仍然存在著，例如Flash播放器的Cookie。

為了刪除這些信息，我們需要在瀏覽器上打開“http：//www.macromedia.com/support/documentation/de/flashplayer/help/settings_manager03.html”，通過“AdobeFlashPlay設置管理器”進行操作。在打開的窗口中，將“全局存儲設置”的滑塊拉到最左邊，同時取消下方兩個選項的選中狀態。通過上述設置，可以阻止網站繼續將Flash Cookie存儲在電腦上。除此之外，我們也可以通過完全卸載Flash播放器來進一步地提高安全性，現如今大多數網站已經開始使用Web標準的HTML5來處理視頻元素，我們可以不必擔心影響網絡應用的問題。這可以徹底解決Flash Cookie的問題，臭名昭著的Flash播放器總是不斷地出現安全漏洞，很容易受到黑客的攻擊，卸載它也可以對系統的安全性有一定的幫助。而卸載它最理想的工具是Flash Player Uninstaller（helpx.adobe.com/flash-player/kb/uninstall-flash-player-windows.html）。

在移動系統中，只有Android支持Flash，并且只有個別瀏覽器支持。而蘋果公司的iOS，所有主要的應用都使用HTML5，所以如果我們沒有使用一個特意支持Flash的瀏覽器，那么在智能手機或平板電腦上我們無需為這一問題做任何事情。

隱藏瀏覽器存儲區域

除了完全正常的Cookie之外，網站還可以在瀏覽器中使用一個特定的存儲區域即所謂的文檔對象模型（Document Object Model，簡稱DOM）。相對于普通Cookie只有幾個KB的大小，DOM Cookie可以最多達到10MB。盡管很少有網站開發人員利用它，但是我們仍然需要在系統上禁止此類Cookie。通過瀏覽器設置刪除Cookie通常也會刪除DOMCookie，但是只有當我們刪除整個瀏覽器歷史記錄時才可以。

完全禁用DOM Cookie是更好的方法，為此，如果使用Chrome瀏覽器，那么我們可以進入設置，單擊“顯示高級設置”，然后選擇“阻止網站設置任何數據”選項，該設置將適用于普通的Cookie和DOM Cookie。如果你只是想刪除DOM Cookie，那么可以使用擴展程序Ghostery。在Firefox中可以在地址欄中輸入“about：config”打開設置頁面，響應警告信息，然后在設置選項中查找“dom.storage.enabled”，并雙擊將其設置修改為“false”。在Internet Explorer和Edge中，進入Internet選項并轉到“高級”選項卡，取消安全設置中的“啟用DOM存儲”的選中狀態即可。

數據的安全成本

還有其他類型的Super Cookie在系統的更深處：HTTP嚴格傳輸安全（HTTP Strict Transport Security，簡稱HSTS）。HSTS是互聯網工程任務組所發布的互聯網安全策略機制，網站可以選擇使用HSTS策略，在用戶的電腦上存儲Cookie以便將來確定瀏覽器可以通過加密連接與服務器進行通信，以減少會話劫持風險。但是根據愛德華·斯諾登的舉報，HSTS Cookie被情報機構用作跟蹤Cookie。所以是否繼續允許HSTS Cookie的使用我們必須自行取舍，而取舍的關鍵取決于我們需要的是更安全還是更多的隱私。目前，HSTS Cookie所保護的會話劫持比較少見，它們更多的是被用于跟蹤用戶的目的，因為HSTSCookie沒有到期日，并且能夠在瀏覽器刪除Cookie之后繼續存在。如果我們使用Chrome瀏覽器，即使在使用隱身模式的情況下也無法保護我們受到HSTS Cookie的追蹤，因為對于Google來說，安全重于隱私。而相比之下，Mozilla的Firefox瀏覽器以及微軟的IE和Edge更強調隱私。同樣地，類似的情況也出現在這些瀏覽器的移動版本上。

如果HSTS Cookie不想離開我們的系統，那么擺脫它們的難度根據使用的瀏覽器各有不同。最復雜的是Firefox，因為我們必須對相關的文件進行編輯，同時還需要修改文件的屬性。首先，我們需要在地址欄中輸入“about：support”打開“故障排除信息”頁面，單擊“配置文件夾”的“顯示文件夾”案例，Windows資源管理器將打開，在資源管理器中查找文件“SiteSecurityServiceState.txt”，使用Windows的編輯器打開此文件，按[Ctrl]+[A]和[Del]刪除文件的所有內容，然后按[Ctrl]+[S]保存文件。接下來，為了防止未來新內容被存到文件中，我們還需要對文件進行寫保護。要實現這一目的，我們需要右擊該文件，然后在快捷菜單中選擇“屬性”，并選中“只讀”復選項。

在Chrome中這是很容易的事情，我們可以在地址欄上打開“chrome：//net-internals/#hsts”，通過該頁面即可清除所有的HSTS Cookie。在Internet Explorer 11和Edge中也是很容易的，進入Internet選項，在“常規”選項卡中選擇“刪除”按鈕，即可清除“Cookie和網站的數據”。

如何抵御數據竊賊

保護我們的隱私和數據安全，除了需要小心廣告商和各種情報機構之外，還需要特別注意一個對個人用戶數據非常感興趣的危險群體：黑客?？ò退够粋€統計顯示，網絡犯罪分子利用瀏覽器漏洞實施的攻擊占所有攻擊的近60%，其原因是，只有少數用戶會及時更新自己的瀏覽器。

自動更新

要降低受到攻擊的風險，我們需要及時更新，確保瀏覽器總是最新的。大多數瀏覽器能夠自動執行更新，在Firefox中，在地址欄中輸入“about：preferences#advanced”，并選擇“更新”和啟用選項“自動安裝更新”即可。而Chrome的自動更新功能默認被激活，但美中不足的是如果我們不經常關閉瀏覽器而只是習慣將它最小化，那么瀏覽器無法完成更新。當瀏覽器的菜單圖標改變了顏色，我們需要知道，這意味著有一個新的更新可用。如果它是紅色的，那么更新已經出現了7天，當它的顏色是綠色時，這意味著更新已經出現了兩天。

微軟的Internet Explorer和Edge能夠通過Windows Update功能自動更新，因此我們應該啟用Windows更新的自動更新服務。我們可以在控制面板下找到并打開“更新”，啟動我們需要的更新功能。而在移動通信系統中，應用程序將自動完成系統漏洞的修復工作。

防御JavaScript攻擊

網站客服人員可以利用JavaScript編程語言直接在瀏覽器窗口中啟動小程序，但是除了正常的用途之外，JavaScript也可以被作為攻擊的手段，例如通過跨站點腳本的缺陷，攻擊者可以在瀏覽器上顯示一個假的網站登錄界面。而實現類似的攻擊要求我們的瀏覽器啟動JavaScript，為此，我們可以使用插件NoScript控制JavaScrip的適用范圍，該插件提供適用于各種熱門瀏覽器的版本。

在iOS上禁用JavaScript是有必要的，因為攻擊者可以通過JavaScript顯示一個看起來有點像蘋果ID登錄界面的對話框，攻擊者通過類似的方式可以獲取用戶的賬戶數據。打開“設置”并在左側選擇“Safari”，在瀏覽器設置中選擇“高級”，并通過滑塊將“JavaScript”設置為關閉，類似的設置也適用于第三方開發商的瀏覽器。而在Android上，我們將需要為每一個瀏覽器分別進行配置，一般情況下，我們可以完全禁用JavaScript，如果對于應用程序的配置有疑問，則可以參考本文中的表格。

防御插件攻擊

另一個需要特別注意的是瀏覽器的插件，即使瀏覽器是安全的，但攻擊者仍然可以通過插件的漏洞入侵電腦。通常，大部分用戶都沒有注意及時更新插件，這將導致插件的安全漏洞此前未被修復。如果我們使用Chrome，那么在地址欄中輸入“chrome：//extensions”，然后點擊“開發模式”，再點擊“立即更新擴展程序”。如果我們使用Firefox，輸入“about：addons”，并按下上方的菜單按鈕，確保“自動更新附加組件”選項被選中，這樣，瀏覽器將會自動查找附加組件的新版本。而在IE瀏覽器中，我們將不得不打開“管理加載項”，并手動檢查每一個加載項，看一下它是否能被更新。

防御病毒廣告

過去，廣告橫幅被利用于散播惡意軟件，用戶只需訪問網站即可能被感染。為此，Google決定不再使用Flash內容的廣告橫幅，但是這并不能夠完全擺脫危險，而且有理由相信未來惡意軟件也可能通過HTML5廣告入侵系統。因而，如果希望100%地避免通過廣告入侵系統的病毒廣告，那么攔截所有廣告是最佳的方法，但是美中不足的是這樣將會剝奪了網站獲得收入的一個重要來源。當然，我們也可以在使用廣告攔截的同時，指定不攔截可信任的網站。使用Adblock Plus可以完全滿足我們的需要，此插件可用于所有熱門的桌面瀏覽器以及Android和iOS上的瀏覽器。

注意：在iOS上我們必須在Safari啟用Adblock，而在Android上，我們有兩個選擇，一個是使用Chrome瀏覽器，一個是使用Firefox瀏覽器，它們都可以使用Adblock的廣告過濾功能。不過，目前病毒廣告尚不多見，即使沒有攔截廣告也可以相對安全地上網沖浪。