Now Reading
Neue Firefox-Sandbox stromlos Bibliotheken von Drittanbietern

Neue Firefox-Sandbox stromlos Bibliotheken von Drittanbietern

Neue Firefox-Sandbox isoliert Bibliotheken von Drittanbietern


Die neueste Version des Firefox-Browsers von Mozilla enthält eine neue Sicherheitsfunktion, die Benutzer vor Webangriffen schützen soll, die gen Schwachstellen in Bibliotheken von Drittanbietern abzielen.

Moderne Browser münden Websites und Anwendungen in Sandkastenprozessen aus, um sich vor bösartigem Quellcode zu schützen, dieser versuchen könnte, den Browser zu kapern oder andere gen dem System ausgeführte Anwendungen anzugreifen. Angreifer verketten jedoch regelmäßig mehrere Sicherheitslücken, um dieser Browser-Sandbox zu entkommen und dasjenige zugrunde liegende Gerät zu kompromittieren.

RLBox erweitert dasjenige Sandbox-Roter Faden und stromlos die Unterkomponenten des Browsers – Drittanbieter-Bibliotheken, die von Firefox verwendet werden – in einer feinkörnigen Software-Sandbox, sagt Mozilla. Aufwärts solche Weise wird potenziell nicht vertrauenswürdiger Quellcode dort aufbewahrt, wo er dem Browser nicht viel Schaden zufügen kann. Qua Komplement bestehender Schutzmaßnahmen wird die Prozedur mit Unterstützung zum Besten von die Isolierung dieser Module zum Besten von die Graphite-Schriftart-Rendering-Engine, die Hunsell-Rechtschreibprüfung, dasjenige Ogg-Multimedia-Container-Format, den Expant-XML-Parser und dasjenige Woff2-Webfont-Komprimierungsformat eingeführt.

„In Zukunft können wir solche Module qua nicht vertrauenswürdigen Quellcode erläutern, und – vorausgesetzt, wir nach sich ziehen es richtig gemacht – sollte selbst eine Zero-Day-Sicherheitslücke in einem von ihnen keine Gefahr zum Besten von Firefox darstellen“, sagt Bobby Holley, ein angesehener Ingenieur im Rahmen Mozilla, dieser in dieser des Firefox-CTO gut technische Strategie und Koordination, schreibt gen dem Mozilla Hacks-Internet-Tagebuch.

Die neue Sandboxing-Technologie, die gen WebAssembly basiert, wurde in Zusammenarbeit mit Wissenschaftlern dieser University of California San Diego und dieser University of Texas entwickelt. Da es sich um ein eigenständiges Projekt handelt, dasjenige modular aufgebaut ist, hofft Holley, dass andere Browser und Softwareprojekte RLBox übernehmen würden, um “dasjenige Natur sicherer zu zeugen”.

„RLBox ist in mehrfacher Hinsicht ein großer Siegespreis zum Besten von uns: Es schützt unsrige Benutzer vor versehentlichen Defekten sowie Angriffen gen die logistische Kette und reduziert die Notwendigkeit, uns zu verwirren, wenn solche Probleme im Vorfeld namhaft werden“, schreibt Holley.

RLBox funktioniert, während es zuerst Quellcode in WebAssembly kompiliert und dann wieder in nativen Quellcode kompiliert. Die Verwendung von WebAssembly qua Build-Zwischenschritt schränkt den Zugriff des Codes gen den Systemspeicher ein und borniert ihn gen zusammenführen angegebenen Speicherbereich, um zu verhindern, dass er zu einer unerwarteten Stelle des Programms springt. Dies bedeutet, dass dieser Entwickler nur die Werte aus dieser Sandbox klarstellen muss, um sicherzustellen, dass sie nicht in böser Ziel erstellt wurden.

“Zusammen zeugen solche Einschränkungen es sicher, zusammenführen Adressraum (einschließlich des Stapels) zwischen vertrauenswürdigem und nicht vertrauenswürdigem Quellcode zu teilen, sodass wir sie weitgehend im gleichen Prozess wie zuvor ausrollen können”, schreibt Holley.

Während Mozilla plant, dieser verkettete Liste weitere Komponenten hinzuzufügen, kann RLBox nicht jede Firefox-Komponente schützen.

„Wenige Komponenten sind zum Besten von diesen Prozedere nicht probat – entweder weil sie zu sehr davon entfernen, den Speicher mit dem Rest des Programms verbinden zu nutzen, oder weil sie zu leistungsempfindlich sind, um den bescheidenen entstehenden Verwaltungsdaten zu hinnehmen“, warnt Holley.

Gleichermaßen in Firefox 95 hat Mozilla die Site Isolation zum Besten von die Gesamtheit Benutzer aktiviert, um sich vor Seitenkanalangriffen wie Spectre zu schützen. Die Site-Isolation zielt darauf ab, den Datenschutz und die Sicherheit zu verbessern, während Inhalte offline und jede Site in ihrem eigenen Betriebssystemprozess geladen wird. Aufwärts solche Weise wird verhindert, dass bösartige Websites gen sensible Informationen von anderen Websites zupacken, die im Browser umgesetzt werden.

What's Your Reaction?
Excited
0
Happy
0
In Love
0
Not Sure
0
Silly
0
View Comments (0)

Leave a Reply

Your email address will not be published.

Scroll To Top