Android版Chrome安全防护升级

发布日期：2025年7月8日
作者：David Adrian, Javier Castro & Peter Kotwicz, Chrome安全团队

Android近期宣布了高级保护功能，将谷歌的高级保护计划扩展为设备级安全设置，适用于需要更高级别安全防护的用户——如记者、民选官员和公众人物。高级保护让您能够为移动设备激活谷歌最强的安全防护，在面对最复杂威胁时提供更好的保护，让您更加安心。

高级保护与Chrome的集成

高级保护作为Android高风险用户的单一控制点，可启用跨应用程序的重要安全设置，包括许多您喜爱的谷歌应用，其中就包含Chrome。在本文中，我们将深入探讨与高级保护集成的Chrome功能，以及企业和非高级保护用户如何利用这些功能。

Android高级保护通过以下三种主要方式与Android版Chrome集成：

启用“始终使用安全连接”设置，适用于公共和私有网站，保护用户免受攻击者读取机密数据或向不安全的纯文本HTTP连接注入恶意内容。在Android版Chrome中，不安全的HTTP仅占页面加载量的不到1%。
在4GB及以上RAM的移动设备上启用完整站点隔离，确保潜在恶意网站永远不会与合法网站在同一进程中加载。桌面版Chrome客户端已具备完整站点隔离功能。
通过禁用JavaScript优化减少攻击面，使Chrome的攻击面更小，更难被利用。

让我们详细了解这三项功能，它们的作用，以及如何在高级保护之外控制这些功能。

始终使用安全连接

“始终使用安全连接”（在博客文章中也称为HTTPS-First模式，在企业策略中称为HTTPS-Only模式）是Chrome的一项设置，它会尽可能强制使用HTTPS，并在不安全地连接到网站之前征求您的明确许可。任何网络（无论是咖啡店、机场还是互联网骨干网）上都可能有攻击者试图拦截连接。此设置可保护用户免受这些攻击者读取机密数据和向原本无害的网页注入恶意内容。这对于高级保护用户尤其有用，因为在2023年埃及选举期间，纯文本HTTP曾被用作攻击媒介。

除了高级保护，我们之前曾发文提到，我们的目标最终是为所有Chrome用户默认启用“始终使用安全连接”。在实现这一目标的过程中，过去两年我们已在高级保护之外的更多场景中悄然启用此功能，以帮助保护更多处于风险情境中的用户，同时限制用户可能点击忽略的警告数量：

我们新增了该设置的一个变体，仅对公共网站发出警告，而对本地网络或单标签主机名（例如192.168.0.1、shortlink/、10.0.0.1）不发出警告。这些名称通常无法获得公开信任的HTTPS证书。此变体能防范大多数威胁——不安全地访问公共网站——但仍允许用户访问可能位于更受信任网络上的本地网站，而不会看到警告。
自2024年6月Chrome 127起，过去一年我们已在无痕模式下为公共网站自动启用“始终使用安全连接”。
自2025年1月Chrome 133起，对于Chrome知道您通常通过HTTPS访问的网站（启发式版本的HSTS标头），我们会自动阻止从HTTPS降级到纯文本HTTP。

“始终使用安全连接”有两种模式——对不安全的公共网站发出警告，以及对任何不安全的网站发出警告。

任何用户都可以在Chrome的隐私和安全设置中启用“始终使用安全连接”，无论是否使用高级保护。用户可以选择是对任何不安全的网站发出警告，还是仅对不安全的公共网站发出警告。企业可以通过HTTPSOnlyMode和HTTPAllowlist策略分别选择加入任一模式并设置例外。网站运营商应部署HTTPS，以保护用户的机密性，确保其内容按预期交付，并避免警告。

完整站点隔离

站点隔离是Chrome中的一项安全功能，它将每个网站隔离到自己的渲染操作系统进程中。这意味着不同的网站，即使在同一浏览器窗口的单个标签页中加载，也会在内存中彼此完全分离。这种隔离可防止恶意网站访问其他网站的数据或代码，即使该恶意网站成功利用了Chrome渲染器中的漏洞——还需要第二个漏洞才能逃离渲染器沙箱以访问其他网站。站点隔离提高了安全性，但需要额外内存来为每个站点提供一个进程。Chrome桌面版默认隔离所有站点。然而，Android对内存使用特别敏感，因此对于移动Android设备，当高级保护关闭时，Chrome仅会在用户登录该站点或在该站点上提交表单时隔离站点。在高级保护下且RAM为4GB及以上的Android设备上（以及所有桌面客户端），Chrome将隔离所有站点。完整站点隔离显著降低了高级保护用户的跨站点数据泄漏风险。

JavaScript优化与安全

高级保护通过禁用V8内部的高级优化JavaScript编译器来减少Chrome的攻击面。V8是Chrome的高性能JavaScript和WebAssembly引擎。V8中的优化编译器使某些网站运行更快，但历史上它们也是Chrome已知攻击的来源。在所有已知被利用的V8已修补安全漏洞中，禁用优化器可缓解约50%。然而，优化器是Chrome在Speedometer等行业基准测试中得分最高的原因。禁用优化器可阻止一大类攻击，但代价是导致某些网站出现性能问题。

JavaScript优化器可以通过“JavaScript优化与安全”网站设置在高级保护模式之外禁用。该网站设置还允许用户按站点禁用/启用JavaScript优化器。禁用这些优化编译器不仅限于高级保护。自Chrome 133起，我们已将其作为网站设置公开，允许用户按站点启用或禁用高级优化编译器，以及更改默认设置。

设置路径：设置 -> 隐私和安全 -> JavaScript优化和安全

此设置可通过DefaultJavaScriptOptimizerSetting企业策略控制，同时可使用JavaScriptOptimizerAllowedForSites和JavaScriptOptimizerBlockedForSites管理允许列表和拒绝列表。企业可以使用此策略阻止访问优化器，同时仍将员工日常使用的SaaS供应商加入允许列表。该功能在Android和桌面平台上可用。

Chrome的目标是使其默认配置对所有用户都是安全的，我们正在通过推出V8沙箱继续提高默认配置中的V8安全性。

保护所有用户

数十亿人使用Chrome和Android，并非所有人都具有相同的风险状况。对于攻击者来说，大规模进行的普通恶意软件攻击可能非常有利可图，针对特定用户的复杂攻击也是如此。这意味着我们不能期望为Chrome默认配置所做的安全权衡对每个人都适用。

高级保护及其相关的安全设置，是为具有不同风险状况的用户量身定制Chrome以满足其安全需求的一种方式，无论是作为个体的高风险用户。拥有大量托管Chrome安装的企业现在也可以启用底层设置。高级保护在Android 16及Chrome 137+版本中可用。

我们还建议高风险用户使用其谷歌账户加入高级保护计划，这将要求账户使用防网络钓鱼的多重身份验证方法，并在用户的任何Android设备上启用高级保护。我们还建议用户启用自动更新，并始终保持其Android手机和网页浏览器为最新版本。

注释

允许列表仅适用于能够实现完整站点隔离的平台——任何桌面平台和RAM为2GB及以上的Android设备。这是因为内部允许列表依赖于源站隔离。