Billede: Microsoft
Spidsen for Microsoft Edge Vulnerability Research Johnathan Norman har detaljeret et eksperiment i Edge, der deaktiverede JavaScript just-in-time (JIT) -kompilatoren for at muliggøre nogle ekstra sikkerhedsbeskyttelser.
Norman beskrev JIT -kompilering som en “bemærkelsesværdig kompleks proces, som meget få mennesker forstår, og den har en lille fejlmargin”, påpegede, at halvdelen af alle sårbarheder for V8 JavaScript -motoren var relateret til processen.
Da JIT-motoren var slukket, var det muligt for Edge at tænde for beskyttelse-f.eks. den hardware-baserede Control-flow Enforcement Technology (CET) fra Intel og Windows 'arbitrær kodebeskyttelse (ACG) ) og Control Flow Guard (CFG) – der tidligere var inkompatible med JIT.
“Dette er ærgerligt, fordi rendererprocessen håndterer upålideligt indhold og bør låses så meget som muligt,” sagde Norman.
“Ved at deaktivere JIT kan vi aktivere både afbødninger og gøre udnyttelse af sikkerhedsfejl i enhver renderer -proceskomponent vanskeligere.
” Denne reduktion i angrebsoverfladen dræber halvdelen af de fejl, vi se i bedrifter, og hver resterende fejl bliver vanskeligere at udnytte. For at sige det på en anden måde, sænker vi omkostningerne for brugerne, men øger omkostningerne for angribere. “
Billede: Microsoft
Ved testning af Edge med JIT deaktiveret sagde Norman, at brugere sjældent bemærkede en forskel i daglig browsing, men den JIT-mindre Edge blev slugt i benchmark-tests, med ydelse reduceret med så meget som 58%.
“Vores test, der målte forbedringer i effekt, viste 15% forbedring i gennemsnit, og vores regressioner viste omkring 11% stigning i strømforbruget. Hukommelse er også en blandet historie med negativt påvirkede tests, der viser en 2,3% regression, men en større gevinst på de test, der viste forbedringer, “skrev Norman.
“Sideindlæsningstider viser det mest alvorlige fald med test, der viser regressioner i gennemsnit omkring 17%. Starttider har imidlertid kun en positiv indvirkning og ingen regressioner.”
Super Duper Secure Mode er i øjeblikket tilgængelig via edge: //flag for brugere af kanariske, dev og beta -udgivelseskanaler i browseren og tænder i øjeblikket CET, men er i øjeblikket ikke kompatibel med WebAssemble.
“Det vil tage noget tid, men vi håber at have CET-, ACG- og CFG -beskyttelse i rendererprocessen. Når det er færdigt, håber vi at finde en måde at muliggøre disse formindskelser intelligent baseret på risiko og give brugerne mulighed for at afbalancere afvejningerne , “Sagde Norman.
“Dette er naturligvis bare et eksperiment; ting kan ændres, og vi har en del tekniske udfordringer at overvinde. Også vores tunge-i-kind navn vil sandsynligvis skulle ændre sig til noget mere professionel, når vi lancerer som en funktion. ”
På Twitter sagde Norman, at der var planer om at tage Super Duper -tilstand til MacOS og Android og få WebAssemble til at fungere.
Relateret dækning
Windows 11 har avanceret hardwaresikkerhed. Sådan får du det i Windows 10 i dag Microsoft Edge 92 begynder at rulle ud til almindelige brugere Få patching: USA, Storbritannien og Australien udsteder fælles rådgivning om de 30 udnyttede sårbarheder Windows Print Spooler ramt med sårbarhed i lokal privilegium -eskalering Microsofts supportagent og nogle grundlæggende kundedetaljer ramt af SolarWinds -angribere
Relaterede emner:
Microsoft Security TV Data Management CXO Data Centers 