Mozilla se priprema za provedbu izolacije mjesta

Općenito, web mjesta ne mogu pristupiti podacima s drugih web mjesta web u pregledniku putem istih pravila o izvoru.

Međutim, zlonamjerne web stranice mogu pokušati zaobići ovo pravilo kako bi napale druge web stranice. a povremeno se sigurnosne pogreške nalaze u kodu preglednika koji primjenjuje istu politiku podrijetla.

Tim Chromea želi popraviti ove pogreške što je brže moguće.

Kako funkcionira izolacija web mjesta

Treba to zapamtiti Chrome je oduvijek imao višeprocesnu arhitekturu gdje bi različite kartice mogle koristiti različite procese prikazivanja.

Određena kartica u nekim slučajevima može čak i promijeniti procese kada prijeđete na novo mjesto. Međutim, stranica napadača i dalje je mogla dijeliti postupak sa stranicom žrtve.

Na primjer, okviri za više web lokacija i skočni prozori na web mjestu često ostaju u istom procesu kao i stranica koja ih je stvorila.

To bi omogućilo uspješan Spectrum napad za čitanje podataka (na primjer, kolačići, lozinke itd.) koji pripadaju drugim okvirima ili skočnim prozorima u vašem procesu.

Izolacija mjesta(Izolacija web mjesta) je sigurnosna značajka Chromea Pruža dodatnu liniju obrane tako da je manja vjerojatnost da će ovi napadi biti uspješni.

Osigurava da se stranice različitih web stranica uvijek smještaju u različite procese, od kojih svaka radi u pješčaniku koji ograničava ono što postupak može učiniti.

Također sprječava postupak od primanja određenih vrsta osjetljivih podataka s drugih web mjesta.

Stoga je s izolacijom web mjesta mnogo teže da zlonamjerna web stranica koristi spekulativne napade bočnih kanala poput Spectra za krađu podataka s drugih web mjesta.

Kada je omogućena izolacija web mjesta, Svaki postupak prikazivanja sadrži dokumente s više od jednog web mjesta.

To znači da sve navigacije dokumentima između web mjesta uzrokuju promjenu kartice u procesima. To također znači da su svi okviri za više mjesta postavljeni u drugačiji postupak od njihovog glavnog okvira, koristeći iframe izvan procesa.

Firefox će službeno ići u izolaciju zauzvrat.

Nakon godinu dana tajnih priprema, Mozilla je najavila namjeru provesti značajku izolacije web mjesta.

Značajka Chromeove izolacije web stranica bila je zamišljena kao sigurnosni mehanizam za preglednik Chrome godinama prije objavljivanja, no njegova se implementacija poklopila s javnim otkrivanjem kvara Meltdown i Spectre procesora, što je izolaciju web mjesta u potpunosti ublažilo.

Mozilla, koja je također osigurala Meltdown i Spectre zakrpe smanjiti preciznost različitih JavaScript funkcija u Firefoxu, utvrdio je da je Googleov pristup nedostacima procesora nadmoćan jer dopušta i izbjegavanje budućih sličnih iskorištavanja i mnogih drugih sigurnosnih problema.

Nika Layzell, programerica u Mozilli, rekla je da je fondacija započela rad na sličnom mehanizmu izolacije mjesta. prošle godine u sklopu projekta s internim kodnim imenom Project Fission.

Posljednjih godinu dana radili smo na razvoju baze Fisije dizajniranjem nove infrastrukture. U narednim tjednima i mjesecima trebat će nam pomoć svih Firefoxovih timova da prilagodimo naš kod arhitekturi preglednika nakon fisije.

Arhitektura preglednika nakon fisije na koju se Layzell poziva slična je trenutnoj Chromeovoj operaciji. Programeri Mozille također planiraju izolirati svaku web stranicu kojoj korisnik pristupa u zasebnom procesu.

Trenutno, Firefox dolazi s postupkom za korisničko sučelje preglednika i neke procese (dva do deset) za Firefox kôd za prikazivanje web stranica.

S Project Fission, ovi potonji procesi će se izmijeniti i stvorit će se zaseban postupak za svaku web stranicu kojoj korisnik pristupa.