„Microsoft Edge“ pažeidžiamumo tyrimų komanda prieš kelias dienas paskelbė, kad eksperimentuoti su nauja funkcija naršyklėje. Eksperimentas apima tyčinį JIT kompiliatoriaus išjungimą „JavaScript“ ir „WebAssemble“ gausite didelį optimizavimą ir pagerinsite našumą kad įgalintumėte tobulesnius saugos naujinimus, kuriuos bendrovė vadina „Edge Super Duper Secure Mode“.
Bendrovė tai paaiškino idėja yra sumažinti išpuolių paviršių modernias sistemas, kurios pagrįstos „JavaScript“ trūkumais ir smarkiai padidina užpuolikų veiklos išlaidas.
„Microsoft“ mini, kad „Chromium“, kuris savo ruožtu yra pagrįstas atviro kodo varikliu „JavaScript V8“, yra su JIT kompiliatoriumi, kuris atlieka esminį vaidmenį visose dabartinėse žiniatinklio naršyklėse ir veikia iš anksto paimdamas „JavaScript“ ir sukompiliuodamas jį į mašinos kodą. taigi, jei naršyklei reikia šio kodo, ji paspartės, jei nereikia - kodas ištrinamas.
Be to, naršyklių pardavėjai sutinka, kad JIT kompiliatoriaus palaikymas V8 yra sudėtingas, nes labai mažai žmonių jį supranta ir turi mažą klaidų ribą.
Remiantis CVE duomenimis, surinktais nuo 2019 m., Maždaug 45% „JavaScript“ variklio ir „WebAssemble V8“ pažeidžiamumų buvo susiję su JIT kompiliatoriumi arba daugiau nei pusė visų „Chrome“ pažeidžiamumų.
„Tinklalapiams nereikia„ JavaScript “, o to tikrai reikia-vieno puslapio žiniatinklio programos su šablonais, tokiais kaip begalinis slinkimas. Už tai gausite du dalykus, ypač greitą žiniatinklį ir saugesnę žiniatinklio naršyklę. Pavyzdžiui, „Amazon“ labai gerai palaiko naudojimą be „JavaScript“. Kitas eksperimentas yra „Stackoverflow“, tokie dalykai kaip peržiūra ir paryškinimas neveikia. Paryškinimą galima pridėti naudojant serverio kodą, tačiau tai kainuos procesoriaus laiką, o ne jūsų procesoriaus laiką. Ar jūsų procesoriaus laikas? »Skaitome komentaruose.
Todėl paskatinti šių rezultatų, „Edge“ komanda šiuo metu dirba kaip vadina virtualios realybės komanda „Super Duper saugus režimas“, „Edge“ konfigūracija, kurioje išjungiate JIT kompiliatorių ir įgalinate tris kitas saugos funkcijas, įskaitant „Intel“ CET („ControlFlow -Enforcement Technology“) technologiją ir „Windows ACG“ (savavališko kodo apsaugos) sistemą - dvi funkcijas, kurios paprastai prieštarautų JIT V8 diegimui .
„Išjungę JIT kompiliatorių, galime įgalinti švelninimą ir apsunkinti saugumo klaidų naudojimą bet kuriame atvaizdavimo proceso komponente“, - rašė jis. Šis puolimo paviršiaus sumažėjimas nužudo pusę klaidų, kurias matome išnaudojimuose, o kiekvieną likusią klaidą išnaudoti tampa vis sunkiau. Kitaip tariant, mes mažiname išlaidas vartotojams, bet didiname užpuolikų išlaidas “.
Tačiau „Microsoft“ bandymai nustatė, kad „Edge“ versijos be JIT kompiliatoriaus jų įkėlimo laikas sumažėjo 16,9% puslapio ir 2,3% sumažintas atminties naudojimas. Tačiau šis eksperimentas buvo tik preliminarus ir „Super Duper Secure Mode“ (SDSM) netrukus nebus oficialios „Microsoft Edge“ versijos dalis.
Tačiau išankstinio išleidimo „Microsoft Edge“ vartotojai (įskaitant „Beta“, „Dev“ ir „Canary“) gali įjungti SDSM „edge: // flags / # edge-enable-super-duper-secure-mode“ ir įgalinti naują funkciją.
Naujiena ateina netrukus po to, kai „Microsoft Edge“ atskleidė daugybę naujų galimybių. Suasmeninimo parinktys vartotojams, įskaitant galimybę pakeisti numatytąjį įrašą dėl leidimo automatiškai leisti mediją naršyklėje, taip pat galimybę „išjungti“ tam tikros svetainės slaptažodžio būsenos įspėjimus. Žinoma, bendruomenėje mes vertiname „Microsoft“ pastangas sumažinti atakos paviršių galutiniams vartotojams, kurie a priori neprašė viso „JavaScript“, kuris šiandien pateikiamas tinklalapiuose.
Pagaliau jei jus domina daugiau sužinoti apie, Išsamią informaciją galite patikrinti šioje nuorodoje.