Google 黑板报: Security

最新调研报告：比较专家与非专家如何安全上网

2015年7月24日

发表者：软件工程师 Iulia Ion 科学研究员 Rob Reeder 用户体验研究员 Sunny Consolvo
今天，您可以了解到足够一生使用的网络安全技巧。此类最佳措施举不胜举，但未必完全适合您。了解哪些措施最适合您及其原因可能并不是一件简单的事。
近期的一篇论文重点讨论了“人们为什么会使用安全选项（而不是其他选项）？”以及“安全社区如何有效地推广最佳实践？”等问题，我们将在适用隐私与安全研讨会（Symposium on Usable Privacy and Security）上进行阐述，该论文题为“...没有人能侵入我的大脑：专家与非专家的安全实践对比”
为了制定此调研报告，我们分别针对231名安全专家和294名非安全专家的网络用户做了两次调查，询问他们在网络安全方面通常采取哪些措施。我们需要对两组参与者的答复进行对比，从而更好地了解其中的差异以及差异存在的原因。
专家与非专家的 5 大安全措施
调研显示，专业人士和非专业人士会首选不同的安全措施，我们要求每个参与者分别列出3项：

专家的5个首选安全措施：

安装软件更新

使用独有密码

使用双重认证

使用安全性强的密码

使用密码管理器

非专家的5个首选安全措施：

使用防病毒软件

使用安全性强的密码

经常更改密码

仅访问自己了解的网站

不共享个人信息

共同点：注重密码管理
很明显，两组参与者都将密码管理作为首选实践，但他们采取的措施有所不同。
安全专家使用密码管理器以及可在一个位置存储与保护用户全部密码的服务。据悉，专业人士为部分账户使用密码管理器的次数较非专业人士高出三倍。一名专家表示：“密码管理器可提供更强、更独特密码，从而改变整个演算过程。”
仅有24%的非专业人士为部分账户使用密码管理器，而73%的专业人士会这样做。我们的调研结果显示，这种差异存在的原因在于对密码管理器的优势缺乏了解，以及/或者对诸如此类程序缺乏信任。一名非专业人士表示：“我会努力记住我的密码，因为没有人能攻击我的大脑。”
关键差别：软件更新与防病毒软件虽然存在共同之处，专家和非专家的回答通常大相径庭。
35%的专家表示，安装软件更新是最重要的安全实践之一，而认同此观点的非专家比例仅为2%。专家往往认识到软件更新的重要性在于“不断修补漏洞”，而非专家不但对此欠缺了解，还会担心软件更新的潜在风险。一名非专业人士说：“我不了解更新软件是否能够确保安全。如果下载了恶意软件岂不是很糟糕？”，另外“我认为软件自动更新并不安全，因为它可能会被用于更新恶意内容。”
同时，42%的非专家将运行防病毒软件作为确保网络安全的三个首选实践之一，而专家中仅有7%认同此观点。专家了解防病毒软件的优势，但表示担心它会误导用户对安全性的理解，因为这并不是绝对安全的解决方案。
下一步措施
我们鼓励大家阅读完整的调研报告，评估您的安全实践，并借鉴专家的建议，访问Google的安全建议网站。除了提供一系列技巧外，该调研报告还阐述了对于基本网络安全实践的主要误解。例如，软件更新是网络安全的重要保障，可让您更加安全地进行操作。然而，非专家认为其中存在安全风险。我们仍需帮助绝大多数（非专家）用户更好地了解并选择最佳安全实践，我们希望战胜这个挑战。

保证个人信息的隐私与安全——你来掌控

2015年6月5日

发表者：Guemmy Kim，产品经理，账户控制与设置
我们总会碰到这样的情况... 电话丢了，想要删除所有个人信息；参加某个活动之后，想跟一些人分享照片（但不是所有人）；犹豫是否要下载某个应用软件，因为需要填写太多信息。
每天，我们都在网上做着影响我们隐私与安全的选择。但是，大多数人都感觉自己在做这些重要决定的时候缺乏一定程度的把控力。Pew最近一项研究称，93%的人认为控制个人信息的获取渠道很重要；90%的人在意需要提交的信息的种类。只有9%人感觉一切都在掌控中。我们想对此做出改变。
Google创建一些简单而功能强大的隐私与安全工具，不仅保护个人的信息安全，且让每个人都能掌控。在Google I/O大会上, 我们宣布：未来，人们在向新一代Android M 中的移动应用软件提供个人信息时将拥有更多掌控。今天，我们要针对我们的隐私与安全工具推出两项重要改进：一个新的中心“我的账户”用于管理你的Google设置；一个新的网站，用于回答跟Google有关的安全与隐私的问题。
隐私与安全控制，一站解决隐私与安全如同一个硬币的两面：如果你的信息不安全，隐私当然也就无从谈起。“我的帐户”使你可以快速使用设置、提供保护你数据的工具，从而保护你的隐私，并判断哪些信息可以使用，使Google更好为你服务。它也会提供更多背景信息，帮助你更好地理解并做出适合你的选择。

下列是通过“我的帐户”可以完成的事项：

根据“隐私检查”和“安全检查”——简单而步骤清晰的说明，你可以进行最重要的隐私和安全设置。

管理可以用于“搜索”、“地图”、“YouTube”和其它产品中的信息，增强你的Google使用体验。例如，你可以关闭或开启像“网络”和“应用记录”这样的设置，更快捷地获得相关度更高的搜索结果；或者，你也可以对“历史地址”进行同样设置，使Google地图即时给你提供最快捷的回家路线指示。

使用“广告设置”工具，可以基于你的兴趣和搜索历史对广告进行控制。

控制关联到你的帐户上的应用软件和网址。

我们旨在创建每个人都可使用的“我的帐户”，即便你没有Google帐户。请在myaccount.google.com上检查你所能进行的操作。
解答你所有关于隐私和安全的问题我们听取了来自各国的人们的反馈，以更好的理解他们对于隐私和安全的需求。除了“我的帐户”，我们也希望帮助人们对一些共同问题能找到答案，例如下列话题：“Google收集什么样的数据？Google如何处理所收集的数据？我能通过什么样的工具来控制管理我的Google体验？”
我们的新网址privacy.google.com会毫无保留地回答这些问题。也会解释我们如何在不泄露个人信息的前提下显示相关广告；如何通过加密和垃圾过滤保护个人信息安全；如何通过个人信息为你量身定制属于你的Google体验。经常访问这个网址，了解新的工具、特征和信息，做出适合你自己的选择。

在您向我们提交信息之后，我们将提供有用的简答，同时您也将拥有对个人信息安全与隐私的掌控。今天只是一个开端，我们将持续努力保护您和您在Google上的个人信息。未来还会有更多，期待您的反馈。

广告与HTTPS更近一步

2015年4月20日

发表者：Neal Mohan，产品管理副经理，展示广告与视频 Jerry Dischler：产品管理副经理，AdWords
自2008年起，我们便一直致力于实现令所有Google提供的服务均默认使用HTTPS加密技术。这一目标的意义在于，人们所使用的搜索、Gmail邮件、YouTube以及网盘等产品都将自动通过加密的方式与Google进行连接。除了我们自己的产品，我们还大力推广“处处皆加密（HTTPS Everywhere）”的理念来鼓励网站管理员预防和修复自身网站的安全漏洞，并且将是否使用HTTPS加密技术纳入了Google搜索排名的标准当中。
今年，我们正计划将“处处皆加密”标准引入广告产品，来帮助所有广告主及发布商合作伙伴。以下为正在制定当中的一些计划：

截止至2014年年底，我们已经实现了所有YouTube广告的HTTPS化。

我们已经开始对Google.com上的搜索广告进行HTTPS加密处理，并且还准备将这一做法推广至Google所有的搜索广告。

2015年6月30日以前，使用AdSense、AdMob以及DoubleClick产品的移动、视频及桌面广告发布商所发布的广告将基本实现HTTPS加密处理。

同样是在2015年6月30日以前，所有使用AdWords、DoubleClick等Google购买平台的广告主都将可以向支持HTTPS的分类中提交HTTPS加密广告，到2015年年底，我们将只接受HTTPS加密广告。

我们为实现广告“处处皆加密”的目标所付出的努力，以及我们在其它广告领域所采取的行动，将为用户提供更优质的在线广告体验，完成这些改进后，我们的广告系统距离全面保证用户安全的目标就更近了一步。

2014年Android系统安全回顾

2015年4月3日

发表者：Adrian Ludwig，Android系统安全首席工程师
我们一直致力于为Android的用户及开发者提供安全的系统环境。过去我们针对Android系统所做的一切都是为了实现这一目标——不论是Android平台本身，还是Google提供的Android相关服务，都已经拥有多重安全防护功能。除传统的加密和应用沙盒防护措施以外，我们的多重安全防护还采用了自动及手动系统检测，以保证系统不受恶意软件、钓鱼软件、网络欺诈以及垃圾邮件的侵害。
Android应用开发平台的安全模型是以强大的应用沙盒功能为基础的。除此之外，我们还应用各项数据，通过组合多种可靠产品及服务，如Google Play以及Verify Apps（授权应用），即时提升系统的安全性。而且，由于Android是一个开放平台，第三方研究和报告也有助于帮助我们强化系统的安全系数。
不过，我们时常会对Android系统的安全防护效果进行检查。通过调查，我们发布了一份安全报告，该报告对2014年汇集的每日数据点（总量达数十亿之多）进行分析，以求对Android系统的安全情况获得一个全面、深入的了解。希望这份报告可以帮助我们更好地让安全社区了解我们采用了哪些方法，做出了哪些以数据为基础的决定，以便提升Android平台的安全性，更有效地回避风险。
由于这份报告内容很多，如果您时间不多，我们列出了以下关键内容供您了解：

有超过10亿台设备采用了Google Play的防护措施，每天进行设备安全扫描的高达2亿次。

2014年仅有不到1%的Android设备安装了可能有害的应用程序。通过Google Play安装应用的Android设备中仅有不到0.15%安装了可能有害的应用程序。

2014年第一至第四季度之间，全球可能有害应用程序的安装率降低了近50%。

每天有超过4亿条网络连接进行SafetyNet检测查找潜在的SSL问题。

Android及Android合作伙伴对79条外部报告的安全问题进行了回应，Google Play中有超过25000个应用程序根据我们发布的安全通知进行了更新。

我们希望确保Android系统的安全性，而这份报告能够帮助我们了解去年的工作效果如何，以及今年该进行哪些改进。2015年，我们已经宣布将更加积极主动地检查Google Play中的应用程序，看是否有违反规定的行为存在。而在Google Play之外，我们也加大了工作力度，以便强化特定高风险设备及地区的安全防护措施。和往常一样，我们期待您对该报告的内容进行反馈，并希望您能够针对如何改进Android系统向我们提出建议。联系方式：security@android.com。

更少漏洞，更多奖金

2014年10月9日

发表者：Tim Willis，Chrome浏览器安全小组
我们一直以来都为保证用户的网上安全而惮精竭虑。以Chrome浏览器为例，我们一方面针对恶意软件和钓鱼程序向用户发出警告，另一方面还悬赏寻找浏览器存在的安全漏洞。通过与研究社区进行合作，迄今为止，我们已经清除了700多个Chrome浏览器中的安全漏洞，同时通过Chrome漏洞奖金计划发放了125万美元的奖金。只不过，随着Chrome浏览器的安全性逐渐提高，找出并利用其中的安全漏洞也变得越发困难。
这其实是一件好事！为了表彰人们在搜索Chrome浏览器安全隐患方面所付出的加倍努力，我们已经提高了奖金等级。此外，我们还对举报机制进行了一定修改，保证研究人员公布漏洞时信息能够更加透明。
首先，我们将奖金的数额由先前公布的最高5,000美元提高到了每个漏洞500-15,000美元，同时附有一份奖金数额的估算明细表。而和往常一样，我们将保留针对特殊贡献举报发放高于以上数目奖金的权利。（例如，上月我们为一份非常重要的报告奖励了30,000美元）。
第二，如果有研究人员能够剖析说明某个特定的安全漏洞针对用户的攻击路经，我们将提高奖金的水平。如今，研究人员可以先提交发现的安全隐患，然后再提交详尽的攻击演示。我们相信，对强化浏览器安全和研究人员而言，这是一个双赢的局面：我们可以更早地修复漏洞，而漏洞贡献者也可以更快地提交报告，降低重复举报的可能性。
第三，领取Chrome浏览器安全漏洞奖金的人都会在Google名人堂张榜公布，这样获奖者可以把名单打印出来，贴在冰箱上留作纪念。
另外，作为补偿， 2014年7月1日起提交的安全漏洞还可以今天公布新标准追加奖金，以示公允。我们已经在条例规则页面回答了一部分常见问题，这些问题中有些是关于Google新推出的Trusted Researcher计划，有些是关于Google零时差漏洞的理念及备选市场。

如何不落入陷阱：你最喜欢的在线安全贴士

2013年11月5日

发表者: Diana Smetters，软件工程师
无论是防御身份窃贼或者移除家庭电脑中的恶意软件，保持安全上网都十分重要。在过去几个月的课程中，我们探索了一些简单的方法步骤，让您、您的家庭和网络更加安全。

安全和隐私都很重要。Google提供的工具可以保护您和您的信息的安全。比如说，两步验证就为您的Google账号加上了一道保险。Google+社交圈和YouTube设置可以帮您管理您的分享，保护您的私人信息安全。应用验证能帮助保护您的手机远离恶意软件。如果您丢失了手机，Android设备管理器会给您的手机电话，并在地图上定位，帮你找回手机（如果无法找回，它会远程删除手机上的信息）。如果您想了解更多关于安全上网和提升网络安全和隐私保护的信息，请访问我们的“不可不知的小知识网站”，查看更多关于Google工具的信息和详情，为您提供有用建议，让您安全上网。

我的手机在哪儿？简单几步，让您的Android设备安全无忧

2013年8月6日

发表者：Adrian Ludwig，Android安全工程师
今年夏天，我们一直在定期发布有关隐私及安全问题的小贴士。了解如何保证上网安全是十分重要的，正因为如此，我们才创办了不可不知的小知识网站，为您提供安全使用互联网的建议。

- 编者注

随着暑假的来临，您很可能会选择出游，旅行时使用智能手机或平板电脑来寻找信息，或者查看最新最酷的应用程序和游戏。不过，您同样可以将安全带至身边！在这篇文章中，我们将一起分享一些技巧以及可以在Andriod手机或平板电脑上轻松安装的工具，安全可靠地保护您的设备以及里面的内容，同时还有一项可以轻松定位丢失设备的新服务。

1. 锁定设备屏幕：无论您用的是手机或平板电脑，设置屏幕锁定都非常简单。这样做至关重要，当您打车时不慎将手机遗落在车上，或者您不想其他人拿起您的手机时浏览其中的内容，您可以进入设置>个人设置>安全>屏幕锁定，选择使用PIN码、密码或图案（甚至是您的脸部照片）来锁定设备。

2. 保护手机远离可疑的应用程序：我们可以自动扫描并阻止或清除有害应用程序，还可以协助保护您从其他地方下载的应用程序，例如网站或者第三方应用商店。当您第一次从未知来源下载安装某一应用程序时，会弹出一条信息，询问您是否需要使用Google扫描文件来保证其安全无害，点击确认可以让Google保护您的手机远离有害应用程序。

3. 使丢失的手机定位、响铃或者消除数据：您有过把手机丢在沙发垫之间或者餐馆的经历吗？本月晚些时候，您将可以使用一款新服务—Android Device Manager—让您的手机即时以最大音量响铃，如此便可以找到它（即使手机已被设为静音状态），或者使用Android Device Manager在地图上实时定位您的手机。如果您的手机无法找回，或者已被盗窃，您可以安全迅速地清除手机上所有的数据，以防落入他人之手。Android Device Manager可以在Android2.2及更高版本上运行。

如需获取更多建议保护您和您的家人安全上网，请登录我们的不可不知的小知识网站，关注我们在安全博客系列中发布的更多文章。

全家都会喜爱的几种简易工具

2013年7月10日

发表者： Matthias Helier，软件工程师
今年夏天，我们一直在定期发布有关隐私及安全问题的小贴士。了解如何保证上网安全是十分重要的，正因为如此，我们才创办了Good to Know网站，为您提供安全使用互联网的建议和贴士。
夏天到了，孩子们纷纷离开学校的同时，也意味着各个家庭一起享受网络的时间到了——可以一起了解萤火虫发光的秘密，也可以一起玩在线游戏。不过，正如网络上有许许多多娱乐和教育资源，网上也有很多东西是我在同家人一起上网时并不愿意看到的。Google有很多工具可以帮助父母们阻止他们不愿看到的东西在自家电脑的屏幕上弹出。要开启这些工具，只需要不到5分钟时间，因此，请您按照下列步骤，在这个夏天，打造更加适合家人的网络搜索结果。 1.开启Google搜索中的安全搜索
开启安全搜索能够非常容易地帮助您将成人图片、搜索结果以及视频隐藏起来。而在阻止某些内容弹出方面，安全搜索更是十分有效，而开启也很简单。您只需打开Google搜索设置页面，在“安全搜索过滤器”版块点击选择框，从Google搜索结果中过滤其中的成人内容即可。这些首选项对任何使用该台电脑Google浏览器所进行的搜索都有效。而如果您家的电脑安装了多个浏览器，您需要为每一个浏览器都开启安全搜索。

您可以通过搜索设置界面开启或关闭安全搜索 2. 保存并锁定您的偏好设置
当您设置好首选项以后，请一定要点击页面底端的保存按钮。而如果您登录了自己的Google账户，您还可以锁定自己的安全搜索过滤器，以防止别人修改首选项——只需点击“锁定安全搜索”即可。这样一来，只有拥有您的Google账户密码才能对设定进行更改。没有哪种过滤器是百分之百完美无缺的，但有了安全搜索功能，您在与家人一道上网时，也将会更有自信。 3. 开启YouTube安全模式
YouTube安全模式能够帮助您及您的家人避免看到那些虽然符合我们的社区守则，但您又不希望在自家电脑屏幕上弹出的视频。开启YouTube安全模式只需要一个步骤。向下滚动至YouTube页面最下方的“安全性”按钮，然后点击——现在，您就可以选择安全模式的首选项了。

点击YouTube页面底端的“安全性”按钮，选择您的首选项
4. 锁定安全模式首选项
和安全搜索功能一样，您也可以登录自己的Google账户，锁定电脑上每一个浏览器的YouTube安全模式。这样浏览器就可以过滤掉成人内容，保证它们不会出现在视频搜索结果、相关视频、播放列表、节目或电影中。此外，YouTube安全模式还能够屏蔽让人不愉快的评论内容。 5. 开启移动安全搜索
手机或其他移动设备以及网络上也有安全搜索功能。您可以打开手机上的浏览器，访问google.com/preferences，来开启Google安全搜索功能。您只需滚动至安全搜索过滤器版块，选择您想要启动的过滤级别即可。请记住在设定选择完成后，点击“保存要求”。
要启动YouTube移动应用中的安全搜索功能，首先您应该打开设置，然后按“搜索”。接着，选择“安全搜索过滤”，并确定使用一般过滤还是严格过滤。
帮助家人营造积极、安全的Google上网体验对您来说是十分重要的，对我们也是如此。而这也是我们与各位家长和专家们一道努力，研究免费易用的各种工具和资源，帮助您的家庭安全浏览网络的原因。如果您对我们的工具及贴士内容还有兴趣，请访问我们的Good to Know网站，在这个夏天关注我们发布的各种安全小贴士。

让密码更好地为您保驾护航

2013年6月3日

发表者： Diana Smetters，软件工程师
编者注：了解如何保持上网安全是十分重要的，因而我们创建了Good to Know网站，为用户提供安全使用互联网的建议和知识。从今天开始，我们将定期发布隐私及安全的小贴士。我们希望这些信息能够有助于您对个人网络信息进行选择和管理。

不论是邮件、照片、还是文件——不管您的Google账户中储存了哪些内容，我们都将竭尽全力，保证它们远离身份窃贼，或是任何企图通过非法手段获取您信息的人。

不过，与此同时您也可以维护自身的信息安全。想象一下，如果有人未经您许可使用了您的Google账户，您会多么不高兴，而您只需花五分钟时间，按照以下步骤进行操作，您的账户可以变得更加安全。首先，我们从能够打开您账户的钥匙——密码开始吧：

1. 在使用各项重要服务时，请分别设置不同的密码
请保证您的每个重要网络账户分别设置了不同的密码。如果有人从某个网站盗取了您的用户名和密码，他就会尝试通过它们登陆其它可能包含您账户的网站。更可怕的是，有些知名网站还会发生密码数据库被盗的情况。如果您使用相同的密码登录不同的站点，很可能就会导致多个账户密码连锁被盗。而您使用同一密码的账户越多，一旦密码被盗，您可能丢失的数据就会越多。

为每个账户设置独立高强度密码有助于保护您的账户信息。希望您从今天开始保证自己的Google账户设置独立密码。

2. 让您的密码很难被破解
“密码”“123456”。这些就属于典型的糟糕密码，因为每个人都知道——包括潜在的攻击者。增加密码的长度或复杂程度能够让密码不易被坏人或认识您的人推测到。我们知道，这并不容易：目前用户密码的平均长度还不到8个字符，而且某些还是纯字母。2009年，一个包含3200万真实密码的数据库公开后，分析结果显示，只有54%的密码中包含数字，包含特殊字符如&或$的更是只有3.7%。

要设置高强度密码，一种方法是使用其他人无法得知的词组或句子作为密码。例如，您可以使用如“我姓刘我在北京”这样的个人信息，加入数字和符号，再取每个字的首字母来设置密码——“wx6w@bj”。请勿使用流行语句或歌词作为密码——研究显示，吸引人们的往往是同样的语句，而您的密码应该只有您自己知道。

Google并不限制密码长度，所以请您尽情发挥自己的创造力吧！

3. 保证密码存放安全
研究显示，担心记不住太多不同的密码是用户为多种服务设置相同密码的主要原因。不过，您无需担心——如果您设置了多个密码而且难以全部记住，您可以列好清单，写下来。您只需要保证这份清单存放在安全地点，不会丢失，也不会被其他人找到。如果您希望通过数字手段进行管理，使用可靠的密码管家是一个不错的选择。Chrome等其它许多浏览器均提供免费的内置密码管家，另外您还可以选择多种独立选项——您只需要花几分钟时间通读这些评论，看看哪些方法最适合您的需求。

4. 设置还原选项
您是否忘记过自己的密码？您的朋友是否有过无法登录自己账户的情况？您可以设置还原选项，例如一个备用的邮件地址或是电话号码，这样可以保证您在无法登录账户的情况下还有另外的方式与服务方取得联系。随时更新密码还原电话号码或邮件地址是保证在出现问题时能够重新登录账户的最佳途径。

如果您还没有为自己的Google账户设置还原选项，请您马上设置。如果您已经设置过，请花一秒钟时间检查所设信息是否为最新的。

我们在帮助中心中为您准备了更多关于选择优质密码的小贴士，以下的视频也包含同类内容：

您的网络隐私与安全不但对您自身十分重要，对我们来说也是一样。虽然我们在保护您的Google账户不受攻击者侵害方面取得了不少成果，但就现阶段而言，设置独立、高强度的密码仍是保护您的网络账户的重要方式。今天，请您花上五分钟时间，利用以上小贴士的内容，重设您的重要密码，并在这个夏天时刻关注我们发布的安全建议。

中国的博客，走近我们的产品、技术和文化