2017年7月26－27日，2017 网络安全生态峰会（简称ISS）将在北京国家会议中心举行，阿里、腾讯、百度、360、启明星辰、绿盟科技等互联网巨头和安全厂商以“新安全•共担当”为主题，从如何维护网络安全、建设生态网络环境等多方面进行探讨，推动中国互联网事业的安全发展。

W3C中国受邀参加了27日下午举行的“安全标准与赋能分论坛”，并作为论坛嘉宾参与了“标准化如何赋能互联网安全”的panel讨论，分享了W3C在推进Web及Web安全标准、确保标准被工业界采纳及应用的实践。阿里巴巴的朱红儒主持了论坛。

自2015年以来，W3C在技术架构组TAG的建议下，重点从HTTP加密通信、强身份认证、应用代理与Web服务器的安全策略及强制三个方面开展Web安全标准化工作。其中，TAG在2015年发布的两份技术发现（TAG Findings，2015年1月，及2015年7月）阐述了技术架构组建议W3C开展的标准工作及优先级。在此指导下，W3C针对HTTP/HTTPS切换的安全上下文、数据交换的同源策略冲突、基于TLS/HTTPS的安全协议、浏览器与Web应用开发者之间的安全策略强制、浏览器API提供更丰富的安全原语等产业界关心的需求开展了一系列标准制定工作，最终实现端到端、模块化、加密、开放的Web安全体系结构。具体工作包括：

－Web加密API（WebCrypto API）－提供标准的Javascript接口，实现加解密和密码学操作，已发布为W3C正式推荐标准。

－Web认证（WebAuthentication）－提供WebAPI实现强身份认证机制，目前正在FIDO 2.0会员提案的基础上进行信任证访问的Web Authentication API标准工作，目前处于工作草案阶段。

－面向加密优化的Web应用安全：安全上下文、升级非安全需求、混合内容、Referrer Policy、子资源完整性、HSTS及HPKP等

－将用户代理纳入合作策略强制环境的Web应用安全：内容安全策略（CSP L2已发布正式推荐标准，L3正在编辑草案阶段）、安全上下文、子资源完整性、混合内容等。

－安全与隐私保护：面向W3C Web标准开发的安全审查指南，提供指南，对标准开发者进行培训和教育。

更多内容，请参阅W3C的Web加密、Web应用安全、Web认证工作组主页。

 

据悉，ISS始于2014年， 始终致力于网络安全生态领域建设，汇集众多互联网行业领军企业和人物同台交流。峰会是由中央网信办网安局、工信部网安局、公安部网安局指导下，由中国互联网协会、中国网络空间协会、阿里巴巴集团、蚂蚁金服集团联合主办。