HTTP 強制彈窗警告，谷歌為上網沖浪操碎了心

" 能力越大、責任越大 " 是《蜘蛛俠》中的經典臺詞，這個道理放在現(xiàn)實世界中也一樣。如今作為瀏覽器領域無可爭議的霸主，谷歌的 Chrome 又雙叒叕開始為用戶上網沖浪的安全操心了。日前谷歌方面宣布，從 2026 年 10 月發(fā)布的 Chrome 154 版本開始默認啟用 " 始終使用安全連接策略 "，讓用戶不會在不知情的情況下訪問 HTTP 網站。

從 Chrome 154 版本開始，一旦用戶嘗試訪問 HTTP 網站，Chrome 就會立刻進行彈窗警告。除非選擇 " 無視風險，堅持訪問 "，否則 Chrome 將拒絕加載。需要注意的是，一旦用戶對某個 HTTP 網站放行，下次訪問時 Chrome 就會默認執(zhí)行，只有用戶在清除瀏覽器數據后才需要重新進行確認，從而避免誤傷。

用彈窗的方式來提示用戶效果確實顯著，可代價著實也不小。畢竟對于用戶而言，彈窗提醒和彈窗廣告其實并無本質的區(qū)別，都會在客觀上中斷上網沖浪的體驗。久而久之，為了不被彈窗干擾，用戶反而會無腦選擇同意，進而對隱私和安全提示脫敏。這也是為什么過去數年頻頻打出隱私牌的歐盟，最近卻開始著手降低 "cookie 彈窗確認 " 出現(xiàn)的頻率。

既然如此，谷歌為何還要用彈窗來警告用戶不要訪問 HTTP 網站呢？是因為在他們看來，HTTP 網站已經成為了網絡攻擊的重要策源地，惡意 HTTP 網站會在加載惡意資源后快速跳轉到 HTTPS 網站，用戶甚至來不及看到瀏覽器地址欄彈出的 " 不安全 " 的紅色感嘆號警告，便已中毒于無形之中。

作為 Web 生態(tài)的基石，超文本傳輸協(xié)議（HyperText Transfer Protocol，HTTP）是一種用于分布式、協(xié)作式和超媒體信息系統(tǒng)的應用層協(xié)議，它指定了客戶端可能發(fā)送給服務器什么樣的請求，以及期望服務器能給到什么樣的響應。可以說在上世紀 90 年代誕生的 HTTP，一度曾是互聯(lián)網的代名詞，也為網絡空間的數據交互奠定了堅實的基礎。

簡單明了就是 HTTP 在互聯(lián)網草創(chuàng)時期的優(yōu)勢，可如今隨著互聯(lián)網經濟的發(fā)展，數據的價值已經被普遍認可，網絡安全問題開始涌現(xiàn)。使用明文傳輸、數據并未經過加密的 HTTP 協(xié)議，就成為了黑客實施網絡攻擊的突破口。由于 HTTP 的通信報文使用明文（不加密），內容可能會被竊聽，再加上無需驗證通信方的身份和報文的完整性，就使得黑客可以輕易篡改信息、乃至偽裝身份。

比如，古早時期的黑客盜取玩家游戲賬號就是使用抓包工具（Wireshark）或嗅探器（Sniffer），來竊取游戲官網和玩家瀏覽器之間的通信內容，從而獲得賬號、密碼等關鍵信息。又比如 DDoS 攻擊是 PC 互聯(lián)網時代網站站長的一門必修課，彼時 DDoS 極為頻繁的原因之一便是 HTTP 協(xié)議無法確定正在通信的雙方是否有訪問權限，就導致網站服務器對于無意義的請求也會照單全收。

因此由 HTTP 加上 TLS/SSL 協(xié)議構建的可進行加密傳輸、身份認證的網絡協(xié)議 HTTPS 應運而生，它主要就是升級了使用非對稱的 RSA 加密算法來將明文變成密文，這樣即便有黑客使用抓包工具，也只能看到一團亂碼，而不是具體的數據。

事實上，HTTPS 協(xié)議也只能確保用戶與服務器的通信安全，同時確保內容不被篡改，也就是說它能確保你訪問的是 baidu.com、而不是 baiidu.com。但 HTTP 不安全并不等于 HTTPS 就一定安全，如果采用 HTTPS 的網站本身存在問題呢？畢竟 HTTPS 只是數據傳輸安全的認證，并不會為網站來做背書。

對于互聯(lián)網相關技術不太了解的用戶，并不知道 HTTPS 到底是保護什么，他們只能看到 Chrome 顯示網站有象征安全的 " 鎖 "。按照 Chrome 的新規(guī)，一個使用 HTTPS 協(xié)議的網站是不會彈出提示的，即便網站本身是為網絡釣魚、電信詐騙服務的也一樣。

由于連接安全不等于網站也人畜無害，就導致谷歌為 Chrome 默認開啟 " 一律使用安全連接 " 特性存在一個隱性的缺陷。那就是它固然會強化用戶對于 HTTP 不安全的認知，但也會讓用戶產生 HTTPS 安全的錯誤印象。

隨著互聯(lián)網的普及，使用網絡的人群已經從二十余年前的極客變成了普羅大眾，這就使得網民對于互聯(lián)網的認知水平其實是在不升反降。與此同時，黑客絕對稱得上是互聯(lián)網世界最與時俱進的一批人。當下的黑客幾乎不再使用抓包工具來主動竊取用戶與網站服務器之間的通信內容，而是會自建釣魚網站，等待用戶主動交出敏感信息。

從某種意義上來說，這其實就反映了谷歌等廠商在保障用戶信息安全上的挑戰(zhàn)。如果什么都不做，放任用戶訪問安全性低的 HTTP 鏈接，就等于讓用戶暴露在安全風險中。可如果強化用戶對于 HTTP 不安全的認知，同時也會加固他們對于 HTTPS 的盲目信任。

所以 Chrome 將 " 一律使用安全連接 " 從用戶選擇開啟改為默認開啟，反而會有適得其反的風險。其實 " 一律使用安全連接 " 與國內大名鼎鼎的 "360 悖論 " 有著異曲同工之妙，即如果你能自行徹底刪除 360 安全衛(wèi)士，那么它就對你毫無意義；可如果做不到將其完全刪除，那你就是需要 360 安全衛(wèi)士的那類人。

簡而言之，如果用戶知道安全連接到底代表什么是安全的，TA 就不需要這個功能的保護。反之，如果對此一無所知，使用安全連接其實也保證不了 TA 的上網安全。

【本文圖片來自網絡】