浏览器安全设置与扩展

网页浏览器是使用最广泛的应用程序之一，也是遭受攻击最多的应用程序之一。浏览器会执行来自不受信任来源（网站）的代码，处理敏感数据，并且可以直接访问用户凭据和会话。

浏览器供应商会频繁发布安全补丁。过时的浏览器可能容易受到已知漏洞利用的攻击，包括路过式下载和沙箱逃逸。请启用自动更新——绝不要延迟浏览器更新。

现代浏览器支持仅使用 HTTPS 模式（或 HTTPS 升级）。启用后，浏览器会拒绝连接到 HTTP 网站，并在加载这些网站前提示您。这可以防止敏感数据意外通过明文连接传输。

绝不要忽略浏览器证书警告。无效或不匹配的证书可能表示：

• 证书已过期或已被吊销
• 自签名证书（可能存在中间人攻击）
• 域名不匹配（访问了错误的网站或网络钓鱼网站）

只有在测试已知安全的内部系统时才可以绕过警告。

需要配置的主要浏览器设置：

• 启用网络钓鱼和恶意软件防护
• 阻止第三方 Cookie
• 启用安全浏览（Chrome）/增强型跟踪保护（Firefox）
• 禁用在浏览器中保存密码的功能（使用专用密码管理器）
• 禁用网站不必要的权限（摄像头、麦克风、位置）

推荐的浏览器扩展：

• uBlock Origin——拦截广告和恶意域名
• Privacy Badger——拦截隐形跟踪器
• HTTPS Everywhere（现已内置于大多数浏览器）
• Bitwarden——密码管理器

扩展越少，攻击面越小。只安装可信且评价良好的扩展。

浏览器扩展拥有对网页的广泛访问权限，可能会：

• 读取所有流量和表单提交内容
• 在您输入密码时窃取密码
• 向网页注入恶意代码

恶意扩展通常看起来很合法。请仔细检查权限，并撤销未使用的扩展。

现代浏览器会将每个标签页和扩展置于单独的进程中，从而限制受攻击网页内容造成的损害。渲染器进程中的漏洞不应破坏整个浏览器，也不应逃逸到 OS——不过，在高级漏洞利用中确实会发生沙箱逃逸。

网站隔离（Chrome、Firefox）会让每个源运行在单独的进程中。这样可以防止一个网站上的恶意 JavaScript 访问另一个网站进程的内存，从而缓解 Spectre 类 CPU 漏洞和跨网站数据窃取。

JavaScript 支持大多数现代网页功能，但也导致了大多数网络攻击（XSS、路过式下载）。Flash 等插件（已弃用）曾是主要的攻击媒介。NoScript 类工具默认阻止 JavaScript——这种做法较为极端，但对于高安全性环境非常有效。

针对不同活动使用独立的浏览器配置文件或浏览器，可以增加隔离性：

• 工作配置文件：企业网站、银行网站
• 个人配置文件：社交媒体
• 研究配置文件：访问未知或可疑网站

一个配置文件遭到入侵不会影响其他配置文件。

哪种浏览器扩展被广泛推荐用于拦截恶意域名和广告，而且无需配置？

浏览器是主要的攻击面之一。请及时更新浏览器，启用仅使用 HTTPS 模式，并配置隐私设置。请使用 uBlock Origin 等可信扩展。同时请注意，扩展通常拥有广泛的页面访问权限。浏览器沙箱和网站隔离可以限制基于网页的漏洞利用所造成的损害。