德国 IT 安全机构 X41 D-Sec 的研究人员分析了（PDF） Google Chrome、Microsoft Edge 和 Internet Explorer 在企业使用场景下的安全性，发现 Chrome 最能抵御攻击。这项研究得到了 Google 的资助，但研究人员声称搜索巨人并没有干预其研究。这项研究没有测试 Firefox、Safari 和 Opera 等浏览器。研究人员发现，IE 因为其弱沙盒而安全性较差，Edge 因为使用了更强的沙盒技术不存在遗留的技术而更能抵御利用，Chrome 因严锁组件和职责分隔而最能抵御攻击，但它支持更多的现代 Web 技术而增加了攻击面。

从明年一月开始，Google Chrome 将不再自动播放有声内容，Chrome 将只会自动播放没有声音的媒体或用户明显表达兴趣的内容。上个月，Chrome 团队透露了一项新功能，让用户永久性给个别网站静音，浏览器会记住你上一次选择静音的网站，你再次访问时静音会自动启用。这项功能将在 Chrome 63 中引入，而 Chrome 64 将把这项控制提升到新的高度：浏览器将只会自动播放用户想要播放的媒体内容。网站静音功能将于今年 9 月引入到 Chrome 63 beta 中，10 月份随正式版提供给所有用户，新的自动播放策略将于 12 月引入到 Chrome 64 beta，明年 1 月提供给所有用户。

Chrome 不久之后将把 FTP 网站标记为不安全。Chrome 安全团队成员 Mike West 在安全开发者邮件列表上称，他们原计划并没有考虑将 FTP 服务标记为不安全，但因为 FTP 的安全性比 HTTP 还差，虽然 FTP 的全球流量只有 0.0026%，考虑到它对用户的风险，将它标记为不安全似无不妥。今年早些时候，Linux 内核官网 kernel.org 和 Debian 分布宣布关闭 FTP 服务器，但主要原因不是安全，而是因为 FTP 低效。

因为发现赛门铁克签发了大量有问题的证书，Google 官方博客公布了 Chrome 浏览器不信任赛门铁克证书的时间表：2017 年 10 月发布的 Chrome 62 将在 DevTools 中加入对即将不受信任的赛门铁克证书的警告；2017 年 12 月 1 日，DigiCert 将接手赛门铁克的证书签发业务；2018 年 4 月 17 日发布的 Chrome 66 将不信任 2016 年 6 月 1 日之前签发的证书；2018 年 10 月 23 日发布的 Chrome 70 将停止信任赛门铁克的旧证书。受影响的赛门铁克 CA 品牌包括 Thawte、VeriSign、Equifax、GeoTrust 和 RapidSSL，几个独立运作密钥不受赛门铁克控制的次级 CA 得到了豁免，其中包括了苹果和 Google。Google 建议使用赛门铁克证书的网站及时更新到受信任证书。

Google Chrome 63 将引入探测中间人攻击的新安全功能。在用户浏览器和目标网站服务器之间的恶意第三方可能会尝试拦截加密链接，但在大部分情况下攻击者未能正确重写加密链接，导致了浏览器能检测到的 SSL 错误。当浏览器探测到在短时间内发生了此类的大量 SSL 错误，它会弹出中间人攻击警告。Chrome 63 预计于 12 月 5 日发布，用户已能通过开发分支测试该功能。

匿名懦读者 写道 "火狐紧跟谷歌的步伐，将取消对沃通和 StartCom 的所有证书的信任。今天谷歌发布了 Chrome 61，已经取消了沃通和 StartCom 颁发所有证书的信任，不留任何白名单。" Chrome 61 的主要特性包括：原生支持 JavaScript 模块，开发者只需声明脚本的依赖，而浏览器则能并行获取粒度依赖，利用缓存，避免跨页重复，确保脚本按正确次序执行；支持 WebUSB API，允许 Web 应用在用户许可下直接访问 USB 设备；V8 JavaScript 引擎升级到 6.1，等等。

在这个单页浏览时代，网站恨不得把所有内容都展示给你，包括自动播放视频和音频，而且这种自动播放经常还是连续的。对许多用户来说，这种做法相当恼人，突如其来的声音有时候会吓你一跳。Firefox 等浏览器开始向用户提供选项让用户直接在标签页点击静音，关闭烦人的声音。但如果你经常访问的网站内置自动播放，每次点击静音也是一件麻烦的事。现在 Chrome 浏览器团队正在试验一项功能，让用户永久性给网站静音，也就是浏览器会记住你上一次选择静音的网站，你再次访问时静音会自动启用。

Google 发布了一个针对企业级用户满足企业用户需求的 Chrome OS 版本 —— Chrome Enterprise，每台设备每年 50 美元。Google 称， Chrome Enterprise 提供了一系列面向企业的功能，包括访问企业级应用的入口；深度安全控制；24/7 支持；整合云端和内部管理工具 ，VMware Workspace ONE 和 Microsoft Active Directory；统一端点管理，等等。

Chrome 和Firefox 扩展 Copyfish 的开发者发出安全警告，他们遭到了针对性的钓鱼攻击，团队成员不小心在钓鱼页面输入了密码，攻击者随后劫持了 Copyfish for Chrome 的账号，将 Copyfish 转移到他们控制的账号，并释出了恶意更新，在用户浏览的页面插入广告。Copyfish for Firefox 扩展没有受到影响。开发者尝试联系了 Google，但至今没有接触到任何能提供帮助的活人。攻击者被认为来自俄罗斯圣彼得堡。

去年，中国 CA WoSign 被发现有严重问题，其中最严重的是故意倒填证书日期绕过浏览器对 SHA-1 证书的限制。主要浏览器开发商要求所有 CA 在 2016 年 1 月 1 日之后停止签发 SHA-1 证书，然而沃通 CA 在 2016 年 1 月 1 日之后仍然签发了 SHA-1 证书，通过故意倒填日期，将这些证书伪装成是在 2016 年前签发的。Mozilla 和 Google 先后宣布将停止对 WoSign 及其收购的 StartCom 新证书的信任。Google 是从 Chrome 56 开始停止信任 WoSign 和 StartCom 签发的新证书，但仍然信任 2016 年 10 月 21 日前签发的证书。现在 Google 安全博客宣布从 Chrome 61 开始完全取消对 WoSign 和 StartCom 证书的信任。Chrome 61 预计将在 9 月中旬发布稳定版。

根据 NetMarketShare 六月份的数据，在 Google Chrome 统治的浏览器市场，Microsoft Edge 依旧难以吸引到新用户。Microsoft Edge 只占有 5.65% 的份额，比前一个月增加 0.02%，比去年同期只增加 0.56%。Edge 是微软在 IE 之后力推的新浏览器，也是 Windows 10 默认使用的浏览器，但预装和默认并不代表用户会使用。相比之下，Chrome 的市场份额接近了六成至 59.49%，比去年同期增加了 10.84%；Firefox、Internet Explorer 和 Safari 分别占据了 12.02%、16.84% 和 3.72% 的份额。在另一个数据跟踪平台 StatCounter，Edge 的市场份额只有 3.89%，Firefox、Internet Explorer 和 Safari 分别占据了 14%、9.28% 和 5.16% 的份额。

网络广告巨人 Google 准备给其浏览器 Chrome 内置广告屏蔽功能，当一家网站包含一定数量的“不可接受广告”，Chrome 将屏蔽该网站的所有广告。而所谓的不可接受广告包括了弹出式广告、自动播放的视频、推迟内容展示的倒计时广告。Google 已经与内容出版商讨论了它的计划，给予他们至少半年时间为广告屏蔽做好准备。Chrome 计划在明年初加入广告屏蔽功能。Google 负责广告业务的高级副总裁 Sridhar Ramaswamy 表示，不可接受的广告类型所带来的令人沮丧的体验会导致客户屏蔽所有广告——让依靠广告收入资助创作的内容创作者、记者、Web 开发者和视频制作者付出巨大的代价。

Chrome 从 2013 年开始支持 PNaCl（Portable Native Client），为开发者提供了一种技术去构建高性能的 Web 应用，但这项技术只有 Google 支持。源自 Mozilla Asm.js 项目的 WebAssembly 技术则得到了所有浏览器开发商的一致拥护： Chrome 和 Firefox 已经原生支持 WebAssembly，Edge 和 Safari 也在预览版中加入了 WebAssembly 支持。在这一背景下，Google 决定停止支持 PNaCl。Chromium 官方博客宣布，在 2018 年第一季度移除对 PNaCl 的支持，表示 WebAssembly 生态系统更适合高性能 Web 应用。Google 发布了帮助开发者将现有的 PNaC 实现迁移到 Web 平台的指南。

Google 宣布了准备将所有 HTTP 网站标记为不安全的第二个措施：到 2017 年 10 月，Chrome 在隐身模式下会将所有 HTTP 网站标记为不安全。Chrome 此前已将输入密码或信用卡号的 HTTP 页面标记为不安全。去 HTTP 化的 第二步将在 10 月发布的 Chrome 62 中启用。

《华尔街日报》援引知情人士的消息报道，Google  计划在 Chrome 上推出广告屏蔽插件。广告拦截插件在 Chrome 浏览器中默认启用，将用户在浏览网页时出现的某些造成不良体验的在线广告类型过滤掉。知情人士称，Google 可能会在几周内发布上述插件，但该公司仍在捋顺具体细节，同时依然有可能决定放弃推进该计划。Google 的一个考虑是让插件选择屏蔽出现违规广告的网站上的所有广告，而不仅限于个别违规广告。

Chrome 透露了 Headless 模式。Headless 提供一种无 GUI 的纯浏览器环境，对于 Web 应用和网页的自动化测试非常有用。在 Chrome 未提供原生 Headless 模式前，Web 开发者可以使用 PhantomJS 等第三方 Headless 浏览器。现在官方准备提供 Headless 了，PhantomJS 维护者 Vitaly Slobodin 随即在邮件列表上宣布辞职。另一个流行浏览器 Firefox 也准备提供 Headless 模式。

在推送 Windows 10 Creators Updat 和 Edge 40 (EdgeHTML 15)的同时，微软释出了最新的浏览器耗电量测试。在测试中，软件巨人的浏览器再次打败了竞争对手，Edge 的耗电量显著低于 Chrome 57 和 Firefox 52。微软去年做过类似的耗电量测试，结果差不多，Edge 也是赢家，但引起了竞争对手的反击。最新的测试做了两个实验，一个实验模拟正常的浏览，另一个则是全屏下循环播放 Vimeo 视频。在第一个实验中，Edge 的耗电量比 Chrome 57 低 33%，比 Firefox 52 低 44%。在第二个实验中，Edge 的视频播放时间能达到 751 分钟(12:31:08)，而 Chrome 是 557 分钟(9:17:03)，Firefox 只有 424 分钟（7:04:19)。这意味着笔记本电脑如果用 Edge 播放视频，电池续航时间比 Chrome 多 3 个小时，比 Firefox 多 5 个小时。

Google Chrome 工程师在开发者邮件列表上宣布将逐步减少对赛门铁克证书的信任。赛门铁克 CA 过去几年被发现签发了大量有问题的证书，其中包括 2015 年在 Google 不知情下为 Google 域名颁发了有效期一天的预签证书。Google Chrome 团队称它从 1 月 19 日开始调查赛门铁克的证书有效性，在调查期间发现有问题的证书数量从最初报告的 127 个暴涨到至少 3 万个。开发者称他们对赛门铁克公司的证书签发政策和实践不再抱有信心，为了用户安全起见，他们决定采取多个步骤减少对赛门铁克所签发证书的信任：对赛门铁克新签发证书接受的有效期减少到 9 个月或更少；通过多个版本的 Chrome 逐步减少对目前信任的赛门铁克证书的信任，鼓励替换现有的证书；移除对赛门铁克所签发证书的 Extended Validatio 状态的认可。Google 工程师称，他们发现赛门铁克公司允许至少四个第三方访问它的基础设施，甚至允许它们签发证书。

Google 工程师正在考虑从 Chrome 浏览器中移除两个使用率不高的菜单选项“关闭其它标签”和“关闭右侧标签”。两个选项允许用户右键点击标签一键关闭其它标签或右侧所有的标签。这对于打开许多个标签的用户很有帮助。但使用率统计数据显示，Chrome 用户很少用这两个标签。很少用并不意味着没有用。Google 工程师几年前就在考虑移除这两个选项，但一直没有做出决定。直到 今年 2月，Chromium 工程师分配了这个问题，意味着工程师准备在未来版本中移除选项。

Google 上周发布的 Chrome 57 引入了限制后台标签页使用 CPU 资源的能力。如果一个后台标签页在一个 CPU 核心的使用率超过 1%，浏览器将暂时推迟该标签页的 JavaScript 计时器。在移动设备上，浏览器将在五分钟后自动暂停所有后台计时器。推迟/暂停后台 JS 操作将能减少资源占用和降低浏览器在笔记本电脑和移动设备上的耗电量。Google 的行动比它早些时候公布的计划更快实现，它原计划是在今年 Q2 实现五分钟后自动暂停所有后台计时器。根据 Google 的计划，到 2018 年设定在 N 分钟后暂停所有后台标签页，到 2020 年停止后台标签页的 JS 操作。