2025 年 4 月发布的 Google Chrome 第 136 版引入了已访问链接分区功能，这是一项革命性的特性，修复了困扰网络长达二十多年的一个隐私漏洞。
作为首个采用这一强大防护措施的主流浏览器，Google Chrome 确保用户的浏览历史不会被窥探，标志着网络安全向前迈出了重大一步。
消除历史记录检测漏洞
从互联网早期开始，CSS 的 “:visited” 选择器就允许网站对已点击的链接设置样式，通常会将其变为紫色，以方便导航。
这项功能虽然对用户友好，却造成了一个安全漏洞。恶意网站可以检测 “:visited” 样式，从而推断出用户访问过哪些网站。
例如，如果用户从网站 A 点击了一个指向网站 B 的链接，一个恶意网站 Site Evil 之后可以显示同样的链接，并利用其 “已访问” 状态来确认用户访问过网站 B。
之前浏览器采取的缓解措施，比如限制样式选项，虽然减缓了这些历史记录检测攻击，但未能彻底消除它们。
Google Chrome 的 “已访问链接分区” 功能通过存储带有上下文细节（具体来说，就是链接网址、顶级网站和框架来源）的链接历史记录，正面解决了这一漏洞。
现在，一个链接只有在被点击的那个网站上才会显示为 “已访问” 状态，从而防止跨网站泄露信息。在同样的场景中，Site Evil 上指向网站 B 的链接将不会显示为已访问样式，除非用户在 Site Evil 上点击了该链接，这使得利用该漏洞的攻击变得毫无效果。
这种分区功能将 “已访问” 历史记录从一个全局且易受攻击的列表，转变为一个安全且特定于上下文的记录，以前所未有的精准度保护了用户的隐私。
Google 表示：“这是浏览器安全领域的一个决定性时刻。通过已访问链接分区功能，Google Chrome 在消除一个长期存在的隐私风险的同时，保留了用户所期望的无缝浏览体验。我们致力于为每个人打造一个更安全的网络环境。”
在不牺牲安全性的前提下提升可用性
Google Chrome 认识到直观导航的重要性，因此引入了 “自身链接” 例外规则，以在隐私和可用性之间取得平衡。
这项功能允许一个网站将指向其自身子页面的链接设置为 “已访问” ，即使这些链接是在不同的上下文中被点击的。例如，当用户浏览 Site.Wiki 网站的 gold 页面时，如果用户之前访问过该网站上关于 chrome 和 brass 的页面，那么指向这些页面的链接将显示为已访问状态，无论用户是从哪个引荐网站进入的。
由于网站本来就可以追踪自己的子页面，这个例外情况不会泄露任何新信息，同时保留了分区功能对隐私的保护。
至关重要的是，这一例外规则不包括第三方链接和内嵌框架（iframe），确保不存在跨网站追踪的漏洞。这种周全的设计在保持网站内熟悉且便捷的导航体验的同时，也坚持了严格的安全标准。
这一修复功能现已在 Google Chrome 的测试版通道中可用，并将于 2025 年 4 月 23 日在 Google Chrome 第 136 版本的稳定版中推出。Google 鼓励用户通过 Chromium 漏洞追踪器提供反馈或报告任何问题。
通过重新定义浏览历史记录的处理方式，Google Chrome 不仅保留了已访问链接样式的实用性，还为所有人提供了一个更安全、更具隐私保护的网络体验。
发表评论
您还未登录，请先登录。
登录