Microsoft Edgen “Super Duper Secure Mode” poistaa JavaScriptin käytöstä lisäturvaa varten
Microsoftin kehittämä Microsoft Edge on monikäyttöinen verkkoselain. Tämä selain julkaistiin ensimmäisen kerran Windows 10 :lle ja Xbox Onelle vuonna 2015, Androidille ja iOS :lle vuonna 2017, Macille vuonna 2019 ja Linuxille lokakuussa 2020.
Se nousi nopeasti suosioon ja korvasi edeltäjänsä Internet Explorer 11 :n Windows 8.1 :ssä, 2002 R2 :ssa, Server 2016 :ssa ja Server 2019 :ssä. Lisäksi Microsoft julkaisi suunnitelman rakentaa selain uudelleen Chromium-pohjaiseksi Blink- ja V8 – moottoreilla.
Microsoft ilmoitti tänään, että he aikovat suorittaa kokeen Edge-verkkoselaimellaan. Tämä kokeilu poistaa tarkoituksella käytöstä tärkeän suorituskyvyn ja optimointiominaisuuden, joka mahdollistaa Edge Super Duper Secure -tilan edistyneemmät tietoturvapäivitykset .
Jonathan Norman, joka on Microsoft Edgen haavoittuvuustutkimuksen johtaja, ilmoitti tänään, että "uuden Super Duper Secure Mode -tilan ideana on poistaa JIT (Just-In-Time) -tuki V8:sta, Edge-selaimen JavaScript-moottorista."
Vaikka JIT ei ole useimmille käyttäjille tuttu, sillä on keskeinen rooli verkkoselaimissa. JIT toimii ottamalla JavaScriptin ja järjestämällä sen konekoodiksi. Jos selain vaatii koodin, se saa elintärkeän nopeuden lisäyksen. Jos näin ei tapahdu, koodi hylätään.
JIT-tuki V8:ssa on kuitenkin monimutkaista. Norman sanoi, että JIT:hen liittyvät tietoturvaongelmat olivat 45 % kaikista V8-haavoittuvuuksista pelkästään vuonna 2019. Lisäksi yli puolet Chromen "luokassa" hyödyntämisestä riippuu JIT:hen liittyvistä vioista.
Norman lisää, että Microsoft Edge -tiimin viimeaikaiset testit ovat paljastaneet, että huolimatta sen ratkaisevasta roolista selaimien nopeuttamisessa, JIT ei ole enää Edgen suorituskyvyn perusominaisuus.
Super Duper Secure Mode poistaa JIT:n käytöstä, mutta ottaa samalla käyttöön kaksi muuta suojausominaisuutta, nimeltään Control-flow-Enforcement Technology (CET) ja Arbitrary Code Guard (ACG) – kaksi ominaisuutta, jotka normaalisti ovat ristiriidassa V8:n JIT-suorituksen kanssa .
Super Duper Secure Mode on tällä hetkellä merkitty kokeiluksi, eikä sitä ole vielä tarkoitus toimittaa käyttäjille. Tämä ominaisuus on kuitenkin jo käytössä ja testattavissa. Edge Canaryn, Dev:n ja Betan käyttäjät voivat siirtyä seuraavaan osoitteeseen ja ottaa tämän ominaisuuden käyttöön Edge-selaimissaan:
Vaikka on vielä epävarmaa, julkaistaanko tämä tekniikka ominaisuutena, Jonathan Normanin mukaan se on silti kokeilemisen arvoinen. Käyttäjät voivat myös testata tätä tekniikkaa ja jättää arvokasta palautetta Microsoft Edge Insiderin kehitystiimille .