Le “Super Duper Secure Mode” de Microsoft Edge désactive JavaScript pour plus de sécurité
Développé par Microsoft, Microsoft Edge est un navigateur Web multiplateforme . Ce navigateur a été lancé pour la première fois pour Windows 10 et Xbox One en 2015, Android et iOS en 2017, Mac en 2019 et Linux en octobre 2020.
Il a rapidement gagné en popularité et a remplacé son prédécesseur, «Internet Explorer 11 », sur Windows 8.1, 2002 R2, Server 2016 et Server 2019. De plus, Microsoft a publié des plans pour reconstruire le navigateur basé sur Chromium avec les moteurs Blink et V8.
Aujourd'hui, Microsoft a annoncé qu'il allait mener une expérience dans son navigateur Web Edge. Cette expérience désactive intentionnellement une fonctionnalité importante de performances et d'optimisation pour permettre des mises à niveau de sécurité plus avancées dans le mode Edge Super Duper Secure.
Jonathan Norman, responsable de la recherche sur les vulnérabilités de Microsoft Edge, a annoncé aujourd'hui que "l'idée derrière le nouveau mode sécurisé Super Duper est de désactiver la prise en charge de JIT (Just-In-Time) dans V8, le moteur JavaScript du navigateur Edge".
JIT, bien que peu familier à la plupart des utilisateurs, joue un rôle central dans les navigateurs Web. JIT fonctionne en prenant JavaScript et en l'organisant en code machine. Si le navigateur a besoin du code, il gagne un boost de vitesse vital. Dans le cas contraire, le code est alors supprimé.
Cependant, le support JIT dans V8 est compliqué. Norman a déclaré que les problèmes de sécurité liés au JIT représentaient 45% de toutes les vulnérabilités V8 en 2019 seulement. En outre, plus de la moitié des exploits Chrome «dans la nature» dépendent de bogues liés au JIT.
Norman ajoute en outre que des tests récents effectués par l'équipe Microsoft Edge ont révélé que malgré son rôle crucial dans l'accélération des navigateurs, JIT n'est plus une caractéristique fondamentale des performances d'Edge.
Le mode sécurisé Super Duper désactive JIT mais active en même temps deux autres fonctionnalités de sécurité appelées Control-flow-Enforcement Technology (CET) et Arbitrary Code Guard (ACG) – deux fonctionnalités qui entreraient normalement en conflit avec l'exécution JIT de V8.
Le mode sécurisé Super Duper est actuellement étiqueté comme une expérience, et il n'est pas encore prévu de l'expédier aux utilisateurs. Cependant, cette fonctionnalité est déjà en ligne et disponible pour les tests. Les utilisateurs d'Edge Canary, Dev et Beta peuvent accéder à l'adresse suivante et activer cette fonctionnalité dans leurs navigateurs Edge :
Bien qu'il soit encore incertain si cette technologie sera lancée en tant que fonctionnalité, cela vaut toujours le coup, selon Jonathan Norman. Les utilisateurs peuvent également tester cette technologie et laisser des commentaires précieux à l'équipe de développement de Microsoft Edge Insider.