2020网信自主创新调研报告-安全浏览器
以下文章来源于关键信息基础设施技术创新联盟《 2020 网信自主创新调研报告》
2020网信自主创新调研报告
专家委员
主 任：倪光南
副主任：严 明、霍 炜、胡伟武、窦 强
委 员（按拼音排序）：曹 冬、陈晓桦、邓小四、杜 胜、杜跃进、冯燕春、 冯裕才、郭守祥、韩乃平、胡红升、黄志刚、姜海舟、 李 斌、李璐瑶、梁育刚、刘龙庚、刘闻欢、刘 毅、 陆宝华、罗东平、潘凤岩、唐 彬、汤学军、田俊峰、 肖新光、杨纪文、翟起滨、张焕国、张 强、张 彦、 张宇翔、张岳公、赵 波、赵战生、郑静清、祝国邦
安全浏览器
国内安全浏览器的发展起步于 2014-2015 年间。过去五年，安全浏览器已经从一个不被认知的新产品发展成为重要的桌面软件产品。随着信息技术的快速发展，作为信息交互的主要平台之一，浏览器已不仅仅是个人浏览网络信息的工具，它承载着诸多重要的网络应用。
通用浏览器受制于自身的局限性（如不支持国产密码算法、不支持我国网络信任体系、不支持我国基础软硬件环境等问题），已经无法满足重要行业领域的业务需求和安全保障要求。安全浏览器要针对用户的业务需求提供定制化服务，同时要保证应用迁移的可靠性和稳定性。近年来，安全浏览器在各大重点行业领域的市场占有率不断提高。
01、安全浏览器的发展经历了四个阶段
安全浏览器的快速发展和应用推广，离不开四方面因素的助力：一是安全浏览器的性能指标不断取得突破，能够很好地满足用户的业务需求；二是安全浏览器对国产化平台的适配程度不断提高，做到了支持多数国产基础软硬件组合；三是安全浏览器的安全性大大高于通用浏览器，在重要领域的网络安全保障中发挥了关键作用；四是安全管制后台成为浏览器产品的新特色，从系统层面提高了可用性、可靠性和安全性。
阶段一：支持国密码算法
2014-2015 年，国内厂商开始了安全浏览器的探索。在经历了内核选型、国密算法及国密 SSL 功能开发移植、插件支持等工作后，基本完成了安全浏览器产品的雏形。产品支持我国商用密码规范，基于 SM2 算法实现 SSL 链 接功能，支持国产算法证书，并原生支持国内各大 CA 根证书及相应证书链，提供对 USBKEY 等多种形态身份认证设备、插件管管控等。
阶段二：支持国产化基础平台
2015-2016 年，安全浏览器厂商纷纷投入到自主基础软硬件环境下的安全浏览器开发工作，逐步完成了本机编译和跨平台交叉编译，实现了对龙芯、飞腾、鲲鹏、兆芯、海光等处理器及 UOS、中标麒麟、银河麒麟、中科方德、深度、普华、新支点、一铭、国心、万里红等操作系统的支持，并实现了与国内众多基础软硬件的适配。
阶段三：提升浏览器性能和安全性
安全浏览器的性能指标是其能否被用户接受的重要因素之一。衡量安全浏览器性能的因素主要包括 HTML 性能、JavaScript 性能、CSS3 性能、操作相应性能、加密传输性能、冷启动时间、热启动时间等。
针对上述因素，国内安全浏览器厂商在内存管理、线程调度、算法调优、GPU 调用等方面开展了大量的工作，取得了长足的进展。目前，主流的安全浏览器性能已经达到国际水平，满足国内应用需求。
同时，浏览器面临着平台、授权、安全和认证等诸多风险（包括自身安 全风险、运行态安全风险、应用访问安全风险、应用扩展安全风险、数据安全风险、行为安全风险和个体安全风险）。在这种情况下，需要浏览器单独 考虑安全功能，提供多层次的安全手段，以应对越来越多的、通过浏览器发生的安全威胁。
随着 Web 应用日趋成熟，各类攻击者也将注意力从对网络服务器的攻击逐步转移到了对 Web 应用的攻击。目前国内安全浏览器厂商都在致力于解决上述各类安全风险，并取得了很大的突破。
阶段四：管控后台成为特色
安全浏览器的统一管理、安全管控、策略下发是关系到其能否充分发挥效能的重要问题。国内厂商针对自身和用户特点，不断充实了管控后台的功能，至今已形成了集安全浏览器客户端升级、安全策略推送、插件管控、证 书管控、应用管理、配置管理、权限管理、行为管理等在内的综合性管控平台，可以针对不同用户的需求提供定制服务，极大地拓展了用户的使用深度，为安全浏览器的发展带来了新的助力。
02、安全浏览器产业需要解决的四个问题
核心技术依赖开源项目
当前，国内浏览器厂商普遍都在 Chromium 基础上进行二次开发。虽然全球任何机构都可以在接受 BSD 许可的情况下自由使用 Chromium 代码，但并非不存在项目闭源的可能性。上述情况一但发生，国内浏览器厂商将面临断供的风险。
针对上述情况，国内厂商一直都在谋划建立开源浏览器内核联盟，开发自主知识产权浏览器内核，以备国外浏览器开源内核断供时可以及时切换。
性能提升需求迫切
安全浏览器在服务端密码计算的性能指标是决定用户体验的关键因素之一。在计算资源不变的条件下，改进密码计算性能，缩短用户等待时间，提升用户体验是安全浏览器厂商关注的问题。进一步提升用户体验，这在某种程度上是未来安全浏览器市场归属的重要因素。当前普遍采用的方法包括算法调优、提高 CPU 资源的利用率、归并计算步骤、并行执行等。此外，基于缓存的 Web 浏览器网页加速和基于 GPU 硬件的 Web 浏览器网页加速技术也是提升用户体验的有效方法。
固件自动化测试技术
固件作为计算机软硬件之间的重要桥梁，其安全性极为重要。针对固件的攻击行为具有隐蔽性强、不易清除、不受操作系统和磁盘更新影响等特点，很容易造成数据被窃、硬件损坏、系统崩溃等严重后果。因此，固件的安全 性直接影响计算机系统和网络的整体安全。但是，以往国内对固件安全的研究相对较少，并且市场上缺少固件安全产品。需要加快研发可融入现有安全体系的固件安全产品，提升计算机整体安全性。
安全挑战越来越大
浏览器的安全性已经不再是其自身的安全问题，而是数据安全、传输安全、算法安全、内容安全、认证安全等多个技术层面的综合性问题。从业务场景的角度看，浏览器作为使用最频繁的 Web 业务系统入口软件，已经成为网络安全的重灾区。攻击者往往把浏览器作为突破口开展网络攻击。此外，来自组织内部的操作失误或蓄意攻击行为，也是安全浏览器需要关注和解决的问题。因此，安全浏览器既要依托操作系统级安全环境的支撑，又要承载自身安全建设，还要针对实际业务场景的需求开展定制化的安全加强。随着各领域业务场景的日益复杂，在兼顾可靠性和易用性的前提下保障浏览器的安全性，这样的挑战在当下和未来一段时间会显得越来越严峻。
免费的商业模式不利于长远发展
为满足政企工作专用浏览器需求，厂商在通用浏览器的基础上增加了相关的应用、安全、可控和数据防泄露等功能，并提供相应的技术支持和服务。然而，由于安全浏览器不具备广告条件，免费的商业模式并不能支撑其长远发展，而目前付费的商业模式还没有被用户普遍接受。这在一定程度上阻碍了相关产业的发展。
03、安全浏览器的创新发展路径
通过开源社区推动浏览器核心技术研发
微软在第一次浏览器大战胜利后故步自封，导致其 IE 浏览器停止更新，其获得的浏览器垄断份额也完全丢失。Google 在开源 Webkit 基础上的持续投入和坚持，使得 Chrome 浏览器成为桌面端和移动端的浏览器的第一名，并且有力的帮助了 Google 的 Web 服务、Android 操作系统及 Chrome Book的成功。在当前市场条件下，国内任一厂商都无法独立完成自主浏览器内核的研发工作，需要相关厂商积极参与开源社区，更好的掌握 Chromium 内核及编译工具链相关代码，为将来独立发展 Chromium 内核及编译工具链做好技术储备。
全面提升浏览器性能
一是利用插件和扩展机制灵活定制安全浏览器特性和功能，让浏览器适应多种场景，提供无缝的交互和体验。二是围绕浏览器性能进行全栈式优化，从网络层、图形层、内核层等多个层面进行优化。三是通过从硬件驱动到浏览器内核上层绘制流水线的针对性调试和优化，解决安全浏览器及其相关应用的性能瓶颈问题。四是通过对算法机制的调优和 CPU 资源的充分利用，以及归并计算步骤和并行执行，提升密码算法的执行速度，改善用户的应用体验。
全方位应对安全挑战
浏览器作为用户访问 Web/Internet 的首要工具，是恶意攻击用户电脑的首要目标之一。由于浏览器的特性，其安全漏洞可以在短期内被大范围的利用和攻击，所以安全问题是浏览器的核心问题之一。浏览器厂商需要积极跟 踪观察 Web 安全的趋势和事件，通过和国内安全厂商的紧密合作，从多进程架构、沙箱机制、内核级数据防护等方面进行安全防护深层次研究，减少数据泄露和安全风险的可能性。
引导用户接受付费模式
安全浏览器厂商需要持续探索多场景化的产品解决方案，针对不同的行业用户研究增值服务。同时，安全浏览器需要与网信产业的整体发展做好协同，与更多的第三方产品结合、适配，为用户提供多样化的价值输出。
以上文章来源于关键信息基础设施技术创新联盟《 2020 网信自主创新调研报告》，版权归属关键信息基础设施技术创新联盟所有，若涉转发侵权，请联系小编告知删除。
