Google設(shè)立的Chromium瀏覽器安全獎(jiǎng)勵(lì)計(jì)劃想必大家都還記憶猶新，找出漏洞并成功修復(fù)的人將有重賞，總計(jì)將有100萬美金用于獎(jiǎng)勵(lì)支出。想看看Chromium的開發(fā)團(tuán)隊(duì)對于安全性問題的看法嗎？

別跳出來擋道

確保用戶的安全就意味著需要仔細(xì)地平衡產(chǎn)品的可用性、性能以及安全性。如果我們實(shí)現(xiàn)的很好的話，所有這些因素應(yīng)該能夠緊密的關(guān)聯(lián)在一起而且這一切對用戶來說這幾乎是透明的。我們通過透明式的自動(dòng)更新來避免給用戶帶來過多的升級提示，并且避免出現(xiàn)彈出對話框這類東西，這些只會(huì)讓有條件的用戶忽略安全提示。當(dāng)安全提示確實(shí)有必要出現(xiàn)時(shí)，確保提示的內(nèi)容清晰明了，而且只將最重要的信息著重呈現(xiàn)出來，比如地址欄中的用戶名和SSL狀態(tài)。

設(shè)計(jì)縱深型的防御架構(gòu)（還得更有深度）

我們設(shè)計(jì)Chrome的安全性架構(gòu)的目標(biāo)就是實(shí)現(xiàn)層級性防御，并且要避免出現(xiàn)單點(diǎn)故障。Chrome的沙盒架構(gòu)代表了這種策略中最有效的部分之一，但這離完整的架構(gòu)還遠(yuǎn)著呢。我們也采用了最優(yōu)秀的反攻擊技術(shù)——包括ASLR、DEP、JIT hardening和SafeSEH，以及我們在Chrome OS項(xiàng)目中自定義的技術(shù)像是Safe Browsing、out-of-date plugin blocking、silent auto-update以及verified boot。我們將繼續(xù)努力研究，并推進(jìn)關(guān)于沙盒和控制流完整性等方面的研究成果。

安全性是整個(gè)團(tuán)隊(duì)的責(zé)任

有一種常見的誤區(qū)，那就是安全性只是產(chǎn)品的一種特性或者是可增加的組件。事實(shí)上，任何復(fù)雜的軟件產(chǎn)品的安全性問題都是橫跨領(lǐng)域的，由數(shù)百萬個(gè)看似無害的決策而定，這些決策每天都會(huì)在開發(fā)者腦中跳出來。這就是為什么對于開發(fā)團(tuán)隊(duì)的每個(gè)成員來說都要注意安全開發(fā)實(shí)踐準(zhǔn)則，并協(xié)同安全團(tuán)隊(duì)一起在整個(gè)項(xiàng)目的生命周期內(nèi)協(xié)同工作，這一點(diǎn)至關(guān)重要。開發(fā)人員對于安全開發(fā)的常識性認(rèn)識有助于我們在正常的安全審查過程中完成審計(jì)和回歸測試。

速度決定一切

用戶的安全性取決于快速響應(yīng)并解決安全漏洞問題，無論這個(gè)缺陷是內(nèi)部測試發(fā)現(xiàn)的還是由第三方提交的報(bào)告中出現(xiàn)的。我們致力于解決所有的安全性問題，并通過快速自動(dòng)更新機(jī)制來提供給我們的用戶。這種方式讓我們在處理安全缺陷問題的響應(yīng)時(shí)間上一度保持著業(yè)內(nèi)領(lǐng)先水平。即使是在處理一個(gè)復(fù)雜的以及帶有政治色彩的問題上，盡管我們并不是內(nèi)容發(fā)布的源頭，但我們依然盡力去解決了（這就是傳說中的內(nèi)容審查和過濾機(jī)制吧）。

做到透明化處理

我們不會(huì)去淡化安全性問題帶來的影響，或者通過默默的升級來掩埋缺陷，因?yàn)檫@么做對用戶的體驗(yàn)來說是很差的。相反的，我們會(huì)提供給用戶和管理員他們所需要的信息，以此來準(zhǔn)確定位和評估風(fēng)險(xiǎn)。我們已經(jīng)對外公開了我們的安全性問題處理步驟文檔，關(guān)于Chrome以及依賴于Chrome組件的缺陷報(bào)告，凡是修補(bǔ)過的我們都已經(jīng)關(guān)閉了——不管是我們內(nèi)部發(fā)現(xiàn)的還是外部報(bào)告的。只要有可能，我們就會(huì)在release note中列出所有已經(jīng)修補(bǔ)過的安全性問題，并公開底層的細(xì)節(jié)，只要其它受此影響的項(xiàng)目有足夠的時(shí)間來應(yīng)對。

融入社區(qū)的懷抱

沒有哪個(gè)軟件產(chǎn)品是完美無缺的，即使有最好的開發(fā)和審查流程也依然會(huì)有bug成為漏網(wǎng)之魚。這就是為什么我們會(huì)對那些能夠幫助我們找到并解決軟件缺陷的獨(dú)立安全研究組織和社區(qū)所做出的貢獻(xiàn)報(bào)以最高的敬意。作為回報(bào)，我們將盡自己所能，通過報(bào)導(dǎo)、給予獎(jiǎng)金、贊助安全性研討會(huì)議的方式來對他們所做出的貢獻(xiàn)表示感謝。我們充分利用社區(qū)的支持，并盡我們所能將社區(qū)擴(kuò)展到更大。我們可以直接雇傭社區(qū)中的程序員到我們的團(tuán)隊(duì)中來，并與獨(dú)立的安全顧問公司保持合作關(guān)系，這些可都是業(yè)界的翹楚。

[[68286]]

使互聯(lián)網(wǎng)對每個(gè)人來說都變得更安全

安全問題不是游戲。一個(gè)瀏覽器如果在安全問題上不成功那其他的都是白搭。當(dāng)最好的安全性技術(shù)能夠被每個(gè)人所利用時(shí)，我們才會(huì)變得更好。為了達(dá)到這個(gè)目標(biāo)，我們同標(biāo)準(zhǔn)制定組織以及其他瀏覽器廠商緊密合作，以此推動(dòng)我們在多個(gè)標(biāo)準(zhǔn)上的合作，包括：public key pinning, Content Security Policies以及SPDY。我們也將技術(shù)開源化，或者使我們的安全技術(shù)得到廣泛存在。（例如，Native Client/Pepper, Open Type Sanitizer， application sandboxing 以及Safe Browsing）。

原文地址