Bild: Microsoft
Der Leiter der Microsoft Edge Vulnerability Research Johnathan Norman hat ein Experiment in Edge beschrieben, bei dem der JavaScript-Just-in-Time-Compiler (JIT) deaktiviert wurde, um einige zusätzliche Sicherheitsvorkehrungen zu ermöglichen.
Norman beschrieb die JIT-Kompilierung als “bemerkenswert komplexer Prozess, den nur sehr wenige Menschen verstehen und der eine geringe Fehlerquote aufweist”, wies darauf hin, dass die Hälfte aller Schwachstellen für die V8-JavaScript-Engine mit diesem Prozess zusammenhängt.
Bei ausgeschalteter JIT-Engine war es Edge möglich, Schutzmaßnahmen zu aktivieren – wie die hardwarebasierte Control-Flow-Enforcement-Technologie (CET) von Intel und den Arbitrary Code Guard (ACG .) von Windows ) und Control Flow Guard (CFG) – die zuvor mit JIT nicht kompatibel waren.
„Das ist bedauerlich, da der Renderer-Prozess nicht vertrauenswürdige Inhalte verarbeitet und so weit wie möglich gesperrt werden sollte“, sagte Norman.
“Durch die Deaktivierung von JIT können wir sowohl Abwehrmaßnahmen aktivieren als auch die Ausnutzung von Sicherheitsfehlern in jeder Renderer-Prozesskomponente erschweren.
“Diese Reduzierung der Angriffsfläche tötet die Hälfte der Fehler, die wir in Exploits sehen und jeder verbleibende Fehler wird schwieriger auszunutzen. Anders ausgedrückt: Wir senken die Kosten für die Nutzer, erhöhen aber die Kosten für die Angreifer.”
Bild: Microsoft
Bei den Tests von Edge mit deaktiviertem JIT sagte Norman, dass die Benutzer beim täglichen Surfen selten einen Unterschied bemerkten, aber der JIT-lose Edge wurde in Benchmark-Tests mit einer Leistungsreduzierung von bis zu 58 % abgespritzt.
“Unsere Tests, die Leistungssteigerungen gemessen haben, zeigten eine durchschnittliche Verbesserung von 15 % und unsere Regressionen zeigten einen Anstieg des Stromverbrauchs um etwa 11 %. Der Speicher ist ebenfalls eine gemischte Geschichte mit negativ beeinflussten Tests, die eine Regression von 2,3 % zeigten, aber einen größeren Gewinn bei den Tests, die Verbesserungen gezeigt”, schrieb Norman.
“Die Seitenladezeiten zeigen den stärksten Rückgang bei Tests, die Regressionen von durchschnittlich etwa 17 % zeigen. Die Startzeiten haben jedoch nur einen positiven Einfluss und keine Regressionen.”
Der Super Duper Secure Mode ist derzeit über edge://flags für Benutzer von Canary-, Dev- und Beta-Release-Kanälen des Browsers verfügbar und schaltet derzeit CET ein, ist jedoch derzeit nicht mit WebAssembly kompatibel.
„Es wird einige Zeit dauern, aber wir hoffen, CET-, ACG- und CFG-Schutz im Renderer-Prozess zu haben. Sobald dies abgeschlossen ist, hoffen wir, einen Weg zu finden, diese Minderungen intelligent basierend auf dem Risiko zu ermöglichen und es den Benutzern zu ermöglichen, die Kompromisse auszugleichen.“ “, sagte Norman.
“Dies ist natürlich nur ein Experiment; die Dinge können sich ändern und wir haben einige technische Herausforderungen zu meistern. Außerdem muss sich unser augenzwinkernder Name wahrscheinlich in etwas mehr ändern professionell, wenn wir als Feature starten.”
Auf Twitter sagte Norman, dass Pläne im Gange seien, den Super Duper-Modus auf MacOS und Android zu bringen und WebAssembly zum Laufen zu bringen.
Verwandte Abdeckung
Windows 11 bietet erweiterte Hardwaresicherheit. So erhalten Sie es heute in Windows 10Microsoft Edge 92 beginnt mit dem Rollout für Mainstream-Benutzer SolarWinds-Angreifer
Verwandte Themen:
Microsoft Security TV Data Management CXO-Rechenzentren 