Chrome - 美国国安局设置 - 组策略 - Policy - 江3

关于Firefox的技巧的文档：侧边栏视图、缩略图视图，by江3如此多娇

为啥用Chrome？

如何快速配置Chrome？

如何更新组策略模板？

如何在Chrome中查看插件信息？

插件黑名单：

扩展:

扩展黑白名单：

数据和缓存目录：

默认搜索服务提供商：

安全浏览，即钓鱼和恶意Sites拦截：

协议权限：

3D绘图：

Cookie和JS

如下部分不翻译了，普通用户一般用户到，有兴趣的自己查阅PDF

//组策略管理模板：https://www.360docs.net/doc/c96590937.html,/administrators/policy-list-3，

//设置方法参考这个帖子：

为啥用Chrome？

●沙盒，

●Safe Browsing，即Phishing and Malware Protecton,

●CRLset,可离线验证证书，并自动更新数据

●内置插件，带沙盒

如何快速配置Chrome？

//如何快速部署Chrome-江3，

组策略对应的注册表项为： HKLM\Software\Policies\Google\Chrome\

Google Chrome与Google Chrome默认设置有何区别？

后者是前者子集，仅当前者为配置的参数后者的对应参数才能生效，所以推荐使用前者Google Chrome，

而计算机和用户这2个组策略的区别就是优先级，计算机的更高，所以在计算机组队Google Chrome中设置的策略级别最高，无法更改；其次是计算机组中的Google Chrome默认设置，再其次是用户组的Google Chrome，最后是用户组的Google Chrome默认设置；

不过，普通用户配置自己的电脑，我推荐使用优先级最高的计算机组Google Chrome策略，这样一个电脑上的所有Chrome族浏览器都使用相同的策略

如何更新组策略模板？

在Chrome族浏览器中打开chrome:policy查看组策略配置，失效的策略在“状态”列中显示“该策略已失效”

Chrome会依然显示相差在4个主版本内的失效策略，超过4个版本的失效策略将被删除

在应用更新的组策略前必须先重置失效的策略，这样应用更新后才会自动删除已失效的策略

//别说我没告诉你啊，最好先在组策略中把用户配置文件目录、缓存目录、媒体缓存大小等等所有都设置好，再安装Chrome，

//否则就等着Chrome默认配置日你吧，在组策略中可以设置2个主要项目

//组策略的设置可以实时生效，所以你可以把组策略的mmc放到桌面，随时修改，修改项目会把Chrome中对应项目变灰色，并显示感叹号

==============================

如何添加组策略条目？

插件查找器：参考Firefox的搜索插件路径参数，

下表为Chrome内置的插件

下表为常用但非Chrome内置的插件

如果插件使用网景插件API，即NPAPI就不入沙；

如果插件使用Pepper插件API，即PPAPI，就入沙；

大部分常用的插件不入沙盒，Ch8加入入沙版PDF viewer，Ch21加入入沙版Adobe Flash

注意：只有沙盒版允许运行Windows Store App，即之前的Metro或叫Modern UI，所以Win8上的Chrome不能使用NPAPI插件；

如何在Chrome中查看插件信息？

在omnibox中输入：chrome:plugins，点击右上角详细信息：

类型：是NPAPI还是PPAPI

名字：可以用来在组策略中加入白名单的

插件白名单是区分大小写的，并且可以精确到版本号，但是可以使用通配符*和?，比如QuickTime Plugin*或者QuickTime Plugin ?.?.?来表示允许所有版本的QuickTime插件，再比如，用*Microsoft Office*表示所有的MS Office插件版本。还可以使用Mime@URLs类型白名单，也就是精确到插件的使用Sites。注意Chrome黑白名单的格式，*.外面有【】

Chrome会自动升级内置插件，但是不会自动升级非内置插件，这样插件需要用户使用插件产品的安装包安装，除此，自动升级插件不依赖Google Update服务。

插件黑名单：

建议开启插件黑名单，因为大部分主流插件都不入沙盒；可以通过插件信息页面chrome:plugins中的插件名右侧附近的“下系统关键安全更新”来更新过期插件

扩展:

大部分扩展通过Chrome商店安装，但是商店的扩展有相当一部分不是Google编写的。不过使用扩展比使用插件危险小得多，因为扩展到权限往往受限制，不能像插件那样完全获得完全的接触操作系统的权利。使用扩展要时刻警惕其可解除的数据数量和类型，以及扩展可能发送哪些数据

危险等级权限

高！可以访问文件系统和所有你访问的Web Sites恩可以使用摄像头和读写文件中！可以访问所有你访问的Sites（不=所有Web Sites，否则扩展就可以访问任何Sites了）

低！可以访问书签、历史、剪贴板数据、物理位置、打开的标签、扩展列表Google Chrome对扩展到安全权限分级外，在运行/允许扩展时还应该考虑到扩展对网络的需求的安全问题，比如Chrome把基于Geolocation Info的物理位置定位视为低危险，但扩展的物理位置定位在具体操作时对某个网络有需求时其安全级别可能被视为高危险（这里有点不解～）

扩展权限可以通过2个方法查看：扩展到详细信息、安装时警告！

扩展黑白名单：

如下图，在组策略中可以配置黑白名单，使用*表示所有扩展强制安装的扩展优先级高于白名单扩展，所以即使白名单中没有加入某个扩展到ID，强制安装的扩展也属于白名单，这是默许的，但是还是建议把强制安装的扩展名单也加到白名单里，这样能方便的从一个名单中查看所有允许的扩展下面的表格是一些常用的扩展，你可以发现，Google Chrome的很多扩展都是中级危险等级

常用扩展举例：

以ScriptSafe和HTTPS Everywhere为例，如何强制安装扩展：

●扩展ID：获取扩展ID的2个方法，

●更新URL：应用商店中的扩展到更新URL是同一的https://https://www.360docs.net/doc/c96590937.html,/service/update2/crx；不在商店中的扩展的更新URL可以通过一个指向

XML文件来获取升级信息，可以通过解压CRX扩展中的manifest.json文件的update_url字段来获取，如果找不到该字段表示该扩展无法自动更新

Chrome使用内部自动更新机制，无须Google Update更新服务支持，一旦有新版本扩展时Chrome会自动更新；来自商店的扩展始终是自动更新，而来自其他来源的扩展要自动更新必须如上面所说的扩展自己必须先支持。此外，Chrome21开始，来自非商店的扩展可能需要在“配置扩展程序、应用和用户脚本安装来源“策略中填入扩展到网站URL。

Chrome程序自动更新是在一个基本的方式上-Google Update服务（该服务属于一个开源项目-Omaha项目），该服务与Chrome是独立的，Google使用该服务来升级Google的所有产品，比如Google earth，该服务只有当所有的Google产品都被卸载后才自动从系统上卸载。Google Update服务根据系统配置的不同使用不同的更新策略，最主要的策略是Windows计划任务服务，如下表，有2个服务：一个是24检查一次，一个是1小时检查一次

注意：确保使用管理员权限登录Windows，否则可能无法查看计划任务

如果上面的某个任务被禁用，或者干脆把Windows Task Scheduler服务禁用了时，Google会使用自己的服务完成自动更新，如下图用户可以在右面的链接中下载Google Update策略模板：ADM template for configuring Google Update (auto-updates)，设置方法参考该贴，如果要设置Google Update策略，先设置Auto-update check period override为true，再把Minutes between update checks设为0，Disable all auto-update

checks (not recommended)表示关闭所有Google差评的自动更新检查；

上面的组策略设置对应会修改如下的注册表项：HKLM\Software\Policies\Google\Update\的2个DWORD型条目：AutoUpdateCheckPeriodMinutes=0 DisableAutoUpdateChecksCheckboxValue=1

果不想使用Google Update策略模板来设置，就给用这2个注册表直接搞定！

上面的策略/注册表设置可以关闭Chrome及其他Google产品的自动更新，但是Google Update服务还是会尝试自动更新自己，所有可以通过Windows服务管理器禁止Google Update的2个服务来彻底禁止Google Update服务，同时也彻底禁止Chrome的自动更新了；当然，同理还是可以用注册表来完成：把HKLM\System\CurrentControlSet\Services下的 Start条目的值设为4来禁用gpupdate和gpupdatem服务

想彻底禁止Chrome自动更新没那么容易，因为Chrome还有一个插件，上面的Table6中最后一个Google Update plugin，可以在上面的插件黑白名单策略中开启/禁用该插件；注意：不管这些策略如何设置，Chrome还是会强制性自动升级部分内置插件、扩展、证书销毁数据

注意：安装Chrome会自动安装Google Update服务，估计其他产品也一样

=======================================================

数据和缓存目录：

默认用户配置目录：C:\Users\\AppData\Local\Google\Chrome \User Data\

因为Windows的同步-Roaming时不会同步AppData的Local文件，所以想要使用Roaming来同步用户配置，你可能需要修改环境变量：

把“设置用户数据目录”设为为${roaming_app_data}\Chrome\就会是Chrome的配置文件转移到：C:\Users\\AppData\Roaming\Chrome\如果如上，把用户数据目录设置进入Roaming文件夹下，那么缓存文件也会自动转移到其中的配置文件夹下，但我们可能不希望同步缓存，所以，“设置缓存目录”设置为${local_app_data}\Chrome\就能把缓存路径改为C:\Users\\AppData\Local\Chrome\

下表是一些常用的环境变量：

注意：Google 更新时安装包是不是到组策略的设置的，所以，还是会在C:\Users\\AppData\L ocal\Google\路径下创建一个默认配置文件夹，只有当启动Chrome时才会自动检查到用户设置的策略

默认搜索服务提供商：

如果在omnibox输入的不是URL，那么Chrome会自动使用默认搜索引擎提供商搜索，使用如下几个策略可以把默认搜索服务改为：https://https://www.360docs.net/doc/c96590937.html,

安全浏览，即钓鱼和恶意Sites拦截：

基于本地数据库，而非在线查询，如果某些情况下Chrome会把URL加密发送到Google进行分析，但不会直接明文发送，要想SHA1 hash一下

协议权限：

可以在组策略中禁用某些协议，比如file, javascript，ftp，view-source（房子用户查看Web Page源码）3D绘图：

WebGL是浏览器的3D硬件加速绘图技术，目前应用的Site很少，禁用对实际影响不大，所以可以禁用来预防未知的潜在漏洞的威胁

Cookie和JS

虽然可以在组策略彻底禁用Cookie和JS，并通过添加白名单来放行，但是建议这里不要那样做，因为有时候需要临时放行来排除某些Sites的现实问题如下部分不翻译了，普通用户一般用户到，有兴趣的自己查阅PDF 5.2.1 Mapping Policy Names to Registry Data 组策略对应的注册表项5.2.2 Example Policy Registry Data 举例

5.3 Appendix C: Chrome Extension Permissions and Warnings 扩展权限和警告的意义5.4 Appendix D: PowerShell Scripts PowerShell脚本快速配置