Der “Super Duper Secure Mode” von Microsoft Edge deaktiviert JavaScript für zusätzliche Sicherheit

Last updated 19. Juni 2023

Microsoft Edge wurde von Microsoft entwickelt und ist ein plattformübergreifender Webbrowser. Dieser Browser wurde erstmals 2015 für Windows 10 und Xbox One, 2017 für Android und iOS, 2019 für Mac und im Oktober 2020 für Linux veröffentlicht .

Er gewann schnell an Popularität und löste seinen Vorgänger „ Internet Explorer 11 ” unter Windows 8.1, 2002 R2, Server 2016 und Server 2019 ab. Außerdem veröffentlichte Microsoft Pläne, den Browser als Chromium-basiert mit Blink- und V8-Engines umzubauen.

Heute hat Microsoft angekündigt, dass sie ein Experiment in seinem Edge-Webbrowser durchführen werden. Dieses Experiment deaktiviert absichtlich eine wichtige Leistungs- und Optimierungsfunktion, um erweiterte Sicherheitsupgrades im Edge Super Duper Secure Mode zu ermöglichen .

Jonathan Norman, Vulnerability Research Lead bei Microsoft Edge, gab heute bekannt, dass „die Idee hinter dem neuen Super Duper Secure Mode darin besteht, die Unterstützung für JIT (Just-In-Time) in V8, der JavaScript-Engine des Edge-Browsers, zu deaktivieren”.

JIT ist zwar für die meisten Benutzer ungewohnt, spielt aber in Webbrowsern eine zentrale Rolle. JIT nimmt JavaScript und organisiert es in Maschinencode. Fordert der Browser den Code an, erhält er einen entscheidenden Geschwindigkeitsschub. Falls dies nicht der Fall ist, wird der Code verworfen.

Die JIT-Unterstützung in V8 ist jedoch kompliziert. Laut Norman machten JIT-bezogene Sicherheitsprobleme allein im Jahr 2019 45 % aller V8-Schwachstellen aus. Außerdem hängen mehr als die Hälfte der Chrome-Exploits „ in freier Wildbahn ” von JIT-bezogenen Fehlern ab .

Norman fügt weiter hinzu, dass kürzlich vom Microsoft Edge-Team durchgeführte Tests gezeigt haben, dass JIT trotz seiner entscheidenden Rolle bei der Beschleunigung von Browsern kein grundlegendes Merkmal mehr für die Leistung von Edge ist.

Der Super Duper Secure Mode deaktiviert JIT, aktiviert aber gleichzeitig zwei weitere Sicherheitsfunktionen namens Control-Flow-Enforcement Technology (CET) und Arbitrary Code Guard (ACG) – zwei Funktionen, die normalerweise mit der JIT-Ausführung von V8 kollidieren würden .

Der Super Duper Secure Mode ist derzeit als Experiment gekennzeichnet, und es gibt noch keine Pläne, ihn an Benutzer auszuliefern. Diese Funktion ist jedoch bereits live und steht zum Testen zur Verfügung. Benutzer von Edge Canary, Dev und Beta können zur folgenden Adresse gehen und diese Funktion in ihren Edge-Browsern aktivieren:

Obwohl noch ungewiss ist, ob diese Technologie als Feature eingeführt wird, ist sie laut Jonathan Norman immer noch einen Versuch wert. Benutzer können diese Technologie auch testen und wertvolles Feedback für das Entwicklungsteam bei Microsoft Edge Insider hinterlassen .