Afbeelding: Microsoft
Johnathan Norman, de leider van Microsoft Edge Vulnerability Research, heeft een experiment in Edge beschreven waarbij de JavaScript just-in-time (JIT)-compiler is uitgeschakeld om extra beveiliging mogelijk te maken.
Hij beschreef JIT-compilatie als een “opmerkelijk complex proces dat maar heel weinig mensen begrijpen en het heeft een kleine foutmarge”, wees Norman erop dat de helft van alle kwetsbaarheden voor de V8 JavaScript-engine verband hielden met het proces.
Met de JIT-engine uitgeschakeld, was het voor Edge mogelijk om beveiligingen in te schakelen, zoals de op hardware gebaseerde Control-flow Enforcement Technology (CET) van Intel en de Arbitrary Code Guard (ACG) van Windows ) en Control Flow Guard (CFG) — die voorheen niet compatibel waren met JIT.
“Dit is jammer omdat het rendererproces niet-vertrouwde inhoud verwerkt en zoveel mogelijk moet worden vergrendeld”, zei Norman.
“Door JIT uit te schakelen, kunnen we zowel mitigatie inschakelen als de exploitatie van beveiligingsbugs in elk onderdeel van het rendererproces bemoeilijken.
“Deze vermindering van het aanvalsoppervlak doodt de helft van de bugs die we hebben zie in exploits en elke resterende bug wordt moeilijker te exploiteren. Anders gezegd: we verlagen de kosten voor gebruikers, maar verhogen de kosten voor aanvallers.”
Afbeelding: Microsoft
Tijdens het testen van Edge met JIT uitgeschakeld, zei Norman dat gebruikers zelden een verschil merkten in het dagelijks browsen, maar de JIT-loze Edge werd in benchmarktests ondermijnd, waarbij de prestaties met maar liefst 58% verminderden.
“Onze tests die vermogensverbeteringen hebben gemeten, vertoonden een verbetering van gemiddeld 15% en onze regressies lieten een toename van het energieverbruik van ongeveer 11% zien. Het geheugen is ook een gemengd verhaal met negatief beïnvloede tests die een regressie van 2,3% laten zien, maar een grotere winst op de tests die verbeteringen vertoonden”, schreef Norman.
“Laadtijden van pagina's laten de grootste afname zien met tests die regressies laten zien van gemiddeld ongeveer 17%. Opstarttijden hebben echter alleen een positieve impact en geen regressies.”
Super Duper Secure Mode is momenteel beschikbaar via edge://flags voor gebruikers van canary-, dev- en beta-releasekanalen van de browser, en schakelt momenteel CET in, maar is momenteel niet compatibel met WebAssembly.
“Het zal enige tijd duren, maar we hopen CET-, ACG- en CFG-bescherming in het rendererproces te hebben. Als dat eenmaal is voltooid, hopen we een manier te vinden om deze risicobeperkingen intelligent mogelijk te maken en gebruikers in staat te stellen de afwegingen te maken ’, zei Norman.
“Dit is natuurlijk maar een experiment; dingen zijn aan verandering onderhevig en we hebben nogal wat technische uitdagingen te overwinnen. Ook zal onze ironische naam waarschijnlijk moeten worden veranderd in iets meer professional wanneer we lanceren als een functie.”
Op Twitter zei Norman dat er plannen waren om de Super Duper-modus naar MacOS en Android te brengen en om WebAssembly te laten werken.
Verwante dekking
Windows 11 heeft geavanceerde hardwarebeveiliging. Hier leest u hoe u het vandaag in Windows 10 kunt krijgen Microsoft Edge 92 begint uit te rollen voor reguliere gebruikers. Krijg patching: VS, VK en Australië geven gezamenlijk advies over de 30 meest misbruikte kwetsbaarheden SolarWinds-aanvallers
Verwante onderwerpen:
Microsoft Security TV Data Management CXO Datacenters 