Dasjenige neueste Firefox 95 enthält RLBox Sandboxing, um den Browser vor bösartigem Sourcecode zu schützen

Mozilla beginnt mit jener Lehrbuch von Firefox 95 mit einer neuen Sandboxing-Technologie namens RLBox, die verhindert, dass nicht vertrauenswürdiger Sourcecode und andere Sicherheitslücken “versehentliche Fehler sowie Angriffe hinauf die Wertschöpfungskette” verursachen.

Dieser verbesserte Schutzmechanismus wird wie “RLBox” bezeichnet und in Zusammenarbeit mit Forschern jener University of California San Diego und jener University of Texas implementiert , Schriftarten, Bilder und andere Inhalte.

Zu diesem Zweck integriert Mozilla “feinkörniges Sandboxing” in fünf Module, darunter seine Graphite-Schrift-Rendering-Engine, die Hunspell-Rechtschreibprüfung, dasjenige Ogg-Multimedia-Container-Format, den Expatriate-XML-Parser und dasjenige Woff2-Webfont-Komprimierungsformat.

Dasjenige Framework verwendet WebAssembly, verdongeln offenen Standard, jener ein portables Binärcodeformat pro ausführbare Programme definiert, die hinauf modernen Webbrowsern vollzogen werden können, um potenziell unsicheren Sourcecode zu isolieren, von dem eine Prototypversion im Februar 2020 an Mac- und Linux-Benutzer ausgeliefert wurde.

Ganz gängigen Browser sind so konzipiert, dass sie Webinhalte in ihrer eigenen Sandbox-Umgebung klarmachen, um zu verhindern, dass bösartige Websites eine Browser-Schwachstelle ausnutzen, um dasjenige zugrunde liegende operating system zu kompromittieren. Firefox implementiert untergeordnet Site Isolation, die jede Website separat in einem eigenen Prozess lädt und damit willkürlichen Sourcecode, jener hinauf einer betrügerischen Website gehostet wird, daran hindert, hinauf vertrauliche Informationen zuzugreifen, die hinauf anderen Websites gespeichert sind.

Dasjenige Problem unter diesen Ansätzen besteht laut Mozilla darin, dass Angriffe oft durch die Aneinanderreihung von zwei oder mehr Fehlern tun, die darauf abzielen, den Sandkastenprozess zu durchbrechen, jener die verdächtige Site enthält, und die Isolationsbarrieren zu durchbrechen, wodurch die eingeführten Sicherheitsmaßnahmen effektiv untergraben werden.

„Dasjenige Nachrüsten jener Isolation kann arbeitsintensiv sein, sehr unsicher pro Sicherheitslücken sein und erfordert kritische Hinblick hinauf die Leistung“, stellten die Forscher in einem Papier verkrampft, dasjenige die Grundlage pro die Prozedur bildete. RLBox “minimiert den Pracht pro die Konvertierung von Firefox, um nicht vertrauenswürdigen Sourcecode sicher und effizient zu verwenden.”

RLBox zielt darauf ab, die Browsersicherheit durch Sandboxing von Kohlenstoff/Kohlenstoff++-Sprachbibliotheken von Drittanbietern zu steigern, die unsicher pro Angriffe sind, die den Rest des Browsers stören. Divergent ausgedrückt, dasjenige Ziel besteht darin, sie Bibliotheken in leichtgewichtigen Sandboxen zu isolieren, sodass Bedrohungsakteure keine Schwachstellen in diesen Unterkomponenten ausnutzen können, um den Rest des Browsers zu erschweren.

„Anstatt den Sourcecode in verdongeln separaten Prozess zu packen, kompilieren wir ihn stattdessen in WebAssembly und kompilieren sie WebAssembly dann in nativen Sourcecode“, sagte Bobby Holley, Chefingenieur von Mozilla. „Die Transformation erlegt dem Zielcode zwei wesentliche Einschränkungen hinauf: Er kann nicht zu unerwarteten Teilen des Rests des Programms springen und er kann nicht hinauf den Speicher extrinsisch einer bestimmten Region zupacken“, fügte hinzu „sogar eine Zero-Day-Schwachstelle in irgendetwas von [these libraries] sollte keine Gefahr pro Firefox darstellen.”

Mozilla stellte verkrampft, dass plattformübergreifendes Sandboxing pro Graphite, Hunspell und Ogg in Firefox 95 pro Desktop- und mobile Versionen des Browsers ausgeliefert wird, während Expatriate und Woff2 voraussichtlich Unterstützung pro die Prozedur in Firefox 96 erhalten.