mobile/security.zh.html

<!DOCTYPE html>
<html lang="zh">
  <head>
    <meta charset="utf-8">
    <title>安全和隐私</title>
  </head>
  <body>
    <header>
      <h1>安全和隐私</h1>

      <p>移动设备被用户随身携带，并拥有一些最隐私或机密的数据（联系人、图片、日程表等）。因此，用户能够依靠手机来保护数据免受攻击者的侵害至关重要。</p>

      <p>对 W3C 规范的安全性和隐私方面进行审查是影响推荐标准进程的一部分；<a href="https://www.w3.org/Privacy/">隐私保护兴趣组</a>和 <a href="https://www.w3.org/Security/wiki/IG">Web 安全兴趣组</a>协调各自领域的审查。</p>

      <p>下面列出的安全和隐私技术在移动环境中有特别的意义。请查看<a href="https://w3c.github.io/web-roadmaps/security/">安全路线图</a>文档（英文），以获得有关 Web 安全的更全面的概述。</p>
    </header>
    <main>
      <section class="featureset well-deployed">
        <h2>广泛部署的技术</h2>

        <div data-feature="安全加强">
          <p>用户的第一道防线以及 Web 应用的隔离单元是同源策略，它大致限制了 Web 应用可以访问同一来源的内容和数据，这里的来源是指协议、域名和端口的组合。</p>

          <p>由于这个策略提出较早，它在 Web 平台的某些部分并不严格，因此会通过跨站脚本或跨站请求伪造，将用户暴露给更大的攻击面。为了使 Web 应用编写者能够减少攻击面从而超出以往要求的效果，<a data-featureid="csp">内容安全策略</a>（Content Security Policy，CSP）提供了一些钩子，它们可以严重限制攻击者希望实现的损害。一个通过启用了 CSP 的通过安全隧道传输的应用可以确保用户能够接收的数据是其期望得到的数据。</p>

          <p>为了进一步加强应用的完整性，Web 开发着可以利用的<a data-featureid="sri"></a>子资源完整性的机制，从而阻止中间人攻击或被攻击的第三方供应商。</p>

          <p><a data-featureid="mixedcontent">混合内容</a>规范有助于将 Web 默认迁移到安全状态，方法是设置明确的规则，以确定那些 HTTPs 不提供的内容在何时可以或不可以从 HTTPs 页面上加载。
          </p>

          <p>在聚合来自多个（可能不受信任的）源的内容的应用中，<a data-featureid="html5-sandbox">HTML5 <code>iframe</code> 的 <code>sandbox</code> 属性</a>可以限制第三方嵌入内容可以使用的交互类型。</p>
        </div>

        <div data-feature="加密">
          <p>通过<a data-featureid="cryptokey">WebCrypto密钥发现</a>API访问预先配置的密钥，<a data-featureid="crypto">Web密码学API</a>提供必要的工具来加密数据，以便在Web应用中进行存储和传输。</p>
        </div>

        <div data-feature="跟踪保护">
          <p>对于希望表明其偏好不被跨 Web 应用和站点追踪的用户，<a data-featureid="dnt">跟踪偏好表达式（Tracking Preference Expression，也被称为Do No Track）</a>使浏览器能够明确地向内容提供者传达用户的愿望，并确定给定的内容提供者是否声明满足该愿望。尽管如此，并不是所有的内容提供者都会尊重用户表达的偏好。</p>
        </div>
      </section>

      <section class="featureset in-progress">
        <h2>开发中的技术</h2>

        <div data-feature="权限">
          <p>许多敏感的 API，比如移动设备传感器的 API，需要通过用户许可才能使用；当这些请求给予用户控制权时，由于关于授予或拒绝哪个权限并不可见，他们有时难以集成到整体的用户体验中。<a data-featureid="permissions">权限API</a>旨在解决这个问题。</p>
        </div>

        <div data-feature="身份管理">
          <p>为了方便用户对在线服务的认证，Web应用安全工作组提出了<a data-featureid="credential-management">凭证管理API</a>，使开发人员能够与用户代理管理的凭证更加无缝地交互。</p>
        </div>

        <p data-feature="认证">基于 FIDO 联盟的免密和多因素认证工作，<a data-featureid="webauthn">Web认证</a>的目标是使 Web 的强认证技术标准化，使用“你拥有的东西”（如身份验证器）、“你知道的东西”（如PIN码）和“你是谁”（如指纹）的任意组合，让黑客即使窃取密码数据库也不足以劫持用户帐户。</p>

        <p data-feature="安全上下文"><a data-featureid="securecontexts">安全上下文</a>建议 Web 平台的强大特性（包括访问敏感数据或私有数据的应用程序代码）只能在安全上下文中通过经过身份验证和加密的渠道传输，以此保证数据的完整性。草案指出：“安全地交付代码不能确保应用程序总是能够满足用户的安全和隐私要求，但这是一个必要的先决条件。”</p>

        <p data-feature="采用 HTTPs">已经具有大量内容的网站在将这些内容从 HTTP 迁移到 HTTPs 是一个很艰巨的任务。<a data-featureid="uir">升级不安全请求规范</a>指示浏览器通过 HTTPs 加载这些资源来帮助迁移。</p>

        <p data-feature="Referrer Policy"><a data-featureid="referrer-policy">Referrer Policy</a> 可帮助 Web 开发者控制 <code>Referer</code> HTTP header 中包含的信息，或者是否发送该 header。</p>

        <p data-feature="沙盒"><a data-featureid="uisecurity">用户界面安全性和可见性 API</a> 文档建议通过确保图形渲染级别的元素可见性来消除点击劫持。例如，一个开发者部署它可以确保用户点击他们的网站的“支付”按钮不被欺骗，而不会把他们的银行余额转移给冒名顶替者。</p>
      </section>

      <section class="featureset exploratory-work">
        <h2>探索性工作</h2>
        <div data-feature="特性策略">
            <p>随着更强大的特性不断地暴露在应用中，站点作者需要更加细化地控制应用中启用/禁用的特性，以及应用可以嵌入（在 iframe 中）的自己或第三方的内容，以增强安全性。<a data-featureid="feature-policy">特性策略</a>定义了一种选择性地启用和禁用各种浏览器特性和API的机制（<code>Feature-Policy</code> HTTP头和 <code>iframe</code> 元素的 <code>allow</code> 属性）。开发者还可以使用该策略对客户端或嵌入者的某些特性和 API 的使用（或缺乏）作出承诺。</p>
        </div>
        <div data-feature="权限">
            <p>不同的API使用不同的机制来授予使用或访问潜在强大功能的权限。为了简化与权限相关的代码的设计，<a data-featureid="permissions-request">请求权限</a>和<a data-featureid="permissions-revoke">放弃权限</a>两个标准提议扩展<a href="https://www.w3.org/TR/permissions/">权限API</a>，以提供一个统一的方法请求和撤销权限。</p>
        </div>
        <p data-feature="认证"><a data-featureid="hbss">基于硬件的安全服务</a>旨在通过向 Web 提供硬件安全服务来提高用户和应用程序提供商能够保护其在线帐户和通信的保证水平。</p>
      </section>

      <section>
        <h2>不再进行的工作</h2>
        <dl>
          <dt>HTTP请求过滤</dt>
          <dd><a data-featureid="epr">入口监管</a>规范提供了另一个加强安全的层面。它定义了一种机制来过滤可以从外部站点发起的 HTTP 请求的类型，降低了跨站点脚本和跨站点请求伪造的风险。这个规范的工作暂时停止了。</dd>
        </dl>
      </section>
    </main>
    <script src="../js/generate.js"></script>
  </body>
</html>