行业新闻与博客

再见，锁定符号：谷歌浏览器将取消挂锁图标，作为使 HTTPS 成为所有网站默认设置的下一步。

世界各地数十亿人将挂锁图标与安全、可信的网站联系起来。但这种情况即将改变 - Google Chrome 宣布他们将从 2023 年 9 月左右开始停止使用挂锁图标。

不过，这一变化并不是因为 Google 不再认为 HTTPS 很重要，事实上恰恰相反。Google 希望每个网站都默认使用 HTTPS 。

为什么谷歌要删除这个众所周知的安全锁符号？这个挂锁图标的变化对您的组织、网站安全和整个网络安全行业意味着什么？

让我们来讨论一下。

发生了什么？Chrome 将把挂锁图标放在后视镜中

作为世界上最受欢迎的网络浏览器，Google Chrome 正在“朝着默认安全的网络方向发展”。

这意味着 HTTPS（即安全的超文本传输协议）应被视为所有网站的默认安全基线。从历史上看，挂锁图标在网络浏览器中代表了这个概念。问题？该图标一直被用户误解为代表一个安全的网站，而不是一个安全的网站。（不，这些术语不是同义词；我们稍后会详细讨论。）

这就是为什么 Google Chrome 安全团队在 2023 年 5 月的 Chromium 博客文章中宣布放弃传统的挂锁图标——过去 40 多年里，锁图标一直与网站安全相关。该更改将在 Chrome 版本 117 中生效（预计于 9 月发布）。

计算机和移动用户将逐步淘汰挂锁：

• 在计算机上，浏览器将显示一个视觉上通用的“调谐”图标，而不是挂锁
• 在 Android 设备上，浏览器将转换为显示新的曲调图标，并且
• 在 Apple iOS 设备上，挂锁图标（不可点击）将完全消失。

使用 HTTP 的网站将继续被 Google Chrome 标记为“不安全”。Google 希望所有网站都应采用 HTTPS。您可能会说 HTTPS 是预期的“最低限度”。没有 HTTPS？您的用户将被警告您的网站“不安全”。

Chrome 117 中的挂锁图标将变成什么

那么，Chrome 会显示什么来代替挂锁图标呢？你自己看：

… 好的。有趣的。Chrome 117 秋季发布时，浏览器地址栏中的显示如下：

唔。正如俗话所说，没什么值得大书特书的。但为什么谷歌要费心去更换一个已经存在了 30 多年的符号呢？

为什么要更改挂锁图标？继续将 HTTPS 安全性作为默认设置

谷歌 Chrome 安全团队表示，此举（部分）基于其浏览器 UI 安全研究的结果，该研究表明绝大多数用户并没有“了解”锁定图标代表的含义。Google 对 1,880 名用户进行的在线研究显示，89% 的受访者误解了挂锁的含义。根据 Chromium 更新：

“用中性指示符替换锁定图标可以防止人们误解锁定图标与页面的可信度相关，并强调安全性应该是 Chrome 中的默认状态。”

这很公平，特别是当您考虑到 82.6% 的网站使用 HTTPS 作为默认协议时。这意味着五分之四的网站安装了 SSL/TLS 证书，其中大多数仅使用最低级别的身份验证（即域验证）。

虽然这个新图标很通用，在视觉上还有一些不足之处，但我们了解 Google 的来源，因为许多用户没有意识到安全网站和安全网站之间的关键区别。从安全的角度来看，这是我们在 Hashed Out 上经常讨论的一个重要描述。

用户需要了解区别：安全≠安全

• 安全意味着您的数据通过加密连接安全地传输。但是，除非您知道该连接另一端的人的经过验证的身份，否则它不安全或不值得信赖。毕竟，如果坏人拥有可以解密您的加密通信的私钥，他们就可以轻松窃取您的数据。您需要另一层安全保障来保证可信度：经过验证的数字身份。
• 安全意味着您知道该连接另一端实体的经过验证的数字身份，并且您可以相信他们会正确处理您的数据。此身份验证由为网站颁发 SSL/TLS 证书的证书颁发机构 (CA) 完成。

底线：HTTPS 是所有网站的“规范”

在旧世界，HTTP 不是默认的。HTTPS 很特殊，因此它带有挂锁图标。在新世界中，每个网站都应该具有 HTTPS。这只是“赌注”。正如 Chrome 团队所说：

“当 HTTPS 很少见时，锁形图标引起了人们对 HTTPS 提供的额外保护的关注。如今，这已不再是事实，HTTPS 已成为常态，而不是例外，我们一直在相应地改进 Chrome。[…] 我们很高兴 HTTPS 的采用率多年来有了如此大的增长，我们终于能够安全地迈出这一步，并继续迈向默认安全的网络。”