En general, los sitios web no pueden acceder a los datos de otros sitios web en el navegador a través de la misma política de origen.
Sin embargo, los sitios maliciosos pueden intentar eludir esta política para atacar a otros sitios web y ocasionalmente, se encuentran errores de seguridad en el código del navegador que aplica la misma política de origen.
El equipo de Chrome tiene como objetivo corregir estos errores lo más rápido posible.
Como funciona Site isolation
Debe recordarse que Chrome siempre ha tenido una arquitectura de múltiples procesos en la que diferentes pestañas podrían usar diferentes procesos de renderización.
Una pestaña determinada puede incluso cambiar los procesos cuando navega a un sitio nuevo en algunos casos. Sin embargo, todavía era posible que la página de un atacante compartiera un proceso con la página de una víctima.
Por ejemplo, los iframes de sitios cruzados y las ventanas emergentes de sitios suelen permanecer en el mismo proceso que la página que los creó.
Esto permitiría un ataque exitoso de Spectrum para leer datos (por ejemplo, cookies, contraseñas, etc.) que pertenecen a otros marcos o ventanas emergentes en su proceso.
El aislamiento del sitio(Site isolation) es una característica de seguridad de Chrome que proporciona una línea de defensa adicional para que estos ataques tengan menos probabilidades de éxito.
Asegura que las páginas de los diferentes sitios web siempre se coloquen en procesos diferentes, cada uno de los cuales se ejecuta en un entorno limitado que limita lo que el proceso puede hacer.
También evita que el proceso reciba ciertos tipos de datos confidenciales de otros sitios.
Por lo tanto, con el aislamiento del sitio, es mucho más difícil que un sitio web malintencionado utilice ataques de canal lateral especulativos como Specter para robar datos de otros sitios.
Cuando el aislamiento del sitio está habilitado, cada proceso de representación contiene documentos de no más de un sitio.
Esto significa que todas las navegaciones a documentos entre sitios provocan un cambio de pestaña en los procesos. También significa que todos los iframes de sitios cruzados se colocan en un proceso diferente de su marco principal, utilizando iframes fuera de proceso.
Firefox entrará oficialmente en aislamiento a su vez.
Después de un año de preparaciones secretas, Mozilla ha anunciado su intención de implementar una función de aislamiento del sitio.
La función de aislamiento del sitio de Chrome se diseñó como un mecanismo de seguridad para el navegador Chrome años antes de su lanzamiento, pero su implementación coincidió con la divulgación pública de los fallos de los procesadores Meltdown y Specter, que el aislamiento del sitio mitigó por completo.
Mozilla, que también proporcionó los parches Meltdown y Spectre para reducir la precisión de varias funciones de JavaScript en Firefox, encontró que el enfoque de Google para los defectos del procesador era superior porque también permitía evita futuras hazañas similares y muchos otros problemas de seguridad.
Nika Layzell, un desarrollador de Mozilla, dijo que la fundación había comenzado a trabajar en un mecanismo de aislamiento de sitio similar el año pasado como parte de un proyecto con el nombre en clave interno Project Fission.
Durante el año pasado, hemos estado trabajando para desarrollar la base de Fisión mediante el diseño de nuevas infraestructuras. En las próximas semanas y meses, necesitaremos la ayuda de todos los equipos de Firefox para adaptar nuestro código a una arquitectura de navegador posterior a la Fisión.
La arquitectura del navegador posterior a Fission a la que se refiere Layzell es similar a la operación actual de Chrome. Los desarrolladores de Mozilla también planean aislar cada sitio web al que el usuario accede en un proceso separado.
Actualmente, Firefox viene con un proceso para la interfaz de usuario del navegador y algunos procesos (de dos a diez) para el código de Firefox para la representación de sitios web.
Con Project Fission, estos últimos procesos se modificarán y se creará un proceso separado para cada sitio web al que acceda el usuario.
La redacción está rara