Safari 的「欺骗性网站警告」功能

[mschultz]

https://twitter.com/matthew_d_green/status/1183391221861027841

iOS 设置 - Safari 浏览器 - 关于 Safari 浏览器与隐私

访问网站之前，Safari 浏览器可能会将从该网站地址计算得出信息发送给“Google 安全浏览”和“腾讯安全浏览”，以检查网站是否为欺诈性网站。这些安全浏览提供商也可能会记录您的 IP 地址。

这个怎么理解？

[okjb]

字面意思

[whileFalse]

应该写清楚，当用户在中国的时候发送到腾讯。

[18115692244]

晚上回去就关掉。看见 XX 网站我就恶心。

[Zeonjl]

那，其它浏览器也会接入到 tx 吗？如 firefox

[Yvette]

/t/386722

[Yvette]

http://finance.sina.com.cn/roll/2017-06-12/doc-ifyfzaaq6076455.shtml

[mschultz]

@Yvette 这个原理是什么，为什么需要记录 IP 呢

我个人的主要疑问就是 URL 和 IP 会以什么形式、什么样的详细程度发送

[wclebb]

咦？上次是 百度，现在改为 腾讯了？
哦，百度浏览器是不是黄了才换腾讯？

[anguiao]

@mschultz 你把数据发给他们，他们自然可以记录你的 IP 地址。这里说的是可能，没有说一定会记录。

[Yvette]

@mschultz 我理解原文既然直接提到了 "These safe browsing providers may also log your IP address"，就是字面意义上地记录 IP 地址。

不过 iOS 安全白皮书里，在 Safari Suggestions 里也提到了一句 "Apple proxies the queries so that partners don’t receive user IP addresses or search feedback."

如果参考这里的话，说明苹果处理第三方的请求的时候会有走代理的操作。然而，我还没有找到直接针对「欺骗性网站警告」具体实现的明确说明，所以该如何理解就只能见仁见智，或者等苹果澄清了。

[wsseo]

国内浏览器默认开启这个功能

[geekfoxmedia]

发送给谷歌，v2 网友：赞美！网络安全的大闸！
发送给腾讯 /阿里，网友：恶心！暴虐的严酷的监督行为！

[Wicked]

在澄清之前，只能关掉了，发送 ip，那简直就是犯罪记录——浏览敌网罪

[DreamSpace]

@geekfoxmedia 是的呢。鉴于本国国情，浏览记录当然愿意给八竿子打不着的外国友人看啊。

[Dkngit]

@geekfoxmedia 谷歌又不可能把数据给中国

[silverfox]

可以简单描述为，只有在 iOS 中区域为中国大陆，才会使用腾讯的 Safe Browsing API。

详细信息见作者的博客 blog.cryptographyengineering.com/2019/10/13/dear-apple-safe-browsing-might-not-be-that-safe/

根据博客介绍，使用的是 Google Safe Browsing Update API，所以并不是简单地把所浏览的 URL 发送给腾讯。大致步骤如下：
1. Google/腾讯把不安全 URL 计算 SHA256，存储前 32 位用于检索。
2. Google/腾讯把这些 32 位 HASH 推送到浏览器中。
3. 每次访问地址时，浏览器对比 URL HASH 是否在第二步中匹配。
4. 如果匹配，浏览器把这个 32 位 HASH 发送给 Google/腾讯服务，对方返回这个 32 位下包含的所有 SHA256 HASH。供浏览器进一步比对。

博客也提到，虽然单个 32 位 HASH 并不能得知用户访问的具体地址。
但是因为用户一般单次访问是多个地址，根据这一组信息也许能推算用户在访问什么网站。

[doveyoung]

“每个人 /群众都像你这样，tx/* 还怎么开展业务?”.jpg

[zhuangku556]

https://support.apple.com/zh-cn/guide/safari/ibrw1074/13.0/mac/10.15

看了下苹果官网的解释，从 10.15 开始加了“这些“安全浏览”提供商还可能会记录您的 IP 地址。”

[mschultz]

@zhuangku556 #18 我 macOS 的 Safari 设置里直接写的是 Safari uses Google Safe Browsing to identify fraudulent websites. 没提腾讯。

[zhuangku556]

@mschultz 可能你地区和语言没在大陆