Bilde: Microsoft
Lederen for Microsoft Edge Vulnerability Research Johnathan Norman har beskrevet et eksperiment i Edge som deaktiverte JavaScript just-in-time (JIT) -kompilatoren for å muliggjøre noen ekstra sikkerhetsbeskyttelser.
Norman beskrev JIT -kompilering som en “bemerkelsesverdig kompleks prosess som svært få mennesker forstår, og den har en liten feilmargin”, påpekte at halvparten av alle sårbarhetene for V8 JavaScript -motoren var relatert til prosessen.
Med JIT-motoren slått av, var det mulig for Edge å slå på beskyttelse-for eksempel maskinvarebasert Control-flow Enforcement Technology (CET) fra Intel og Windows 'arbitrær kodevakt (ACG) ) og Control Flow Guard (CFG) – som tidligere var inkompatible med JIT.
“Dette er uheldig fordi gjengivelsesprosessen håndterer upålitelig innhold og bør låses så mye som mulig,” sa Norman.
“Ved å deaktivere JIT kan vi aktivere både avbøtninger og gjøre utnyttelse av sikkerhetsfeil i en hvilken som helst gjengivelsesprosesskomponent vanskeligere.
” Denne reduksjonen i angrepsflaten dreper halvparten av feilene vi se i bedrifter og hver gjenværende feil blir vanskeligere å utnytte. For å si det på en annen måte, reduserer vi kostnadene for brukerne, men øker kostnadene for angripere. “
Bilde: Microsoft
Ved testing av Edge med JIT deaktivert, sa Norman at brukerne sjelden merket forskjell i daglig surfing, men JIT-less Edge ble slengt i referansetester, med ytelse redusert med så mye som 58%.
“Våre tester som målte forbedringer i effekt viste 15% forbedring i gjennomsnitt og regresjonene våre viste rundt 11% økning i strømforbruk. Minne er også en blandet historie med negativt påvirket tester som viser 2,3% regresjon, men en større gevinst på testene som viste forbedringer, “skrev Norman.
“Sidelastningstider viser den alvorligste nedgangen med tester som viser regresjoner i gjennomsnitt rundt 17%. Oppstartstider har imidlertid bare en positiv innvirkning og ingen regresjoner.”
Super Duper Secure Mode er for øyeblikket tilgjengelig via edge: //flagg for brukere av nettleseren Canary, dev og beta, og slår på CET for øyeblikket, men er for øyeblikket ikke kompatibel med WebAssemble.
“Det vil ta litt tid, men vi håper å ha CET-, ACG- og CFG -beskyttelse i gjengivelsesprosessen. Når det er fullført, håper vi å finne en måte å muliggjøre disse begrensningene intelligent basert på risiko og gi brukerne mulighet til å balansere avveiningene , “Sa Norman.
“Dette er selvsagt bare et eksperiment; ting kan endres, og vi har en del tekniske utfordringer å overvinne. Også vårt tunge-i-kinn-navn vil trolig måtte endre seg til noe mer profesjonell når vi lanserer som en funksjon. ”
På Twitter sa Norman at det var planer om å ta Super Duper -modus til MacOS og Android, og få WebAssemble til å fungere.
Relatert dekning
Windows 11 har avansert maskinvaresikkerhet. Slik får du det i Windows 10 i dag Microsoft Edge 92 begynner å rulle ut til vanlige brukere Få oppdateringer: USA, Storbritannia og Australia utsteder felles rådgivning om de 30 utnyttede sårbarhetene Windows Print Spooler rammet med sårbarhet for lokale privilegier, eskalering Microsofts supportagent og noen grunnleggende kundedetaljer rammet av Angripere fra SolarWinds
Relaterte emner:
Microsoft Security TV Data Management CXO Data Centers 