«Super Duper Secure Mode» Microsoft Edge вимикає JavaScript для додаткової безпеки
Microsoft Edge є кросплатформним веб-браузером, розробленим Microsoft. Цей браузер вперше був випущений для Windows 10 та Xbox One у 2015 році, Android та iOS у 2017 році, Mac у 2019 році та Linux у жовтні 2020 року.
Він швидко завоював популярність і замінив свого попередника «Internet Explorer 11» на Windows 8.1, 2002 R2, Server 2016 і Server 2019. Крім того, Microsoft опублікувала плани реконструкції браузера на базі Chromium з двигунами Blink і V8.
Сьогодні Microsoft оголосила, що збирається провести експеримент у своєму веб-браузері Edge. Цей експеримент навмисно вимикає важливу функцію продуктивності та оптимізації, щоб забезпечити більш розширені оновлення безпеки в режимі Edge Super Duper Secure Mode.
Джонатан Норман, який є керівником дослідження вразливостей Microsoft Edge, оголосив сьогодні, що «ідея нового режиму Super Duper Secure Mode полягає в тому, щоб вимкнути підтримку JIT (Just-In-Time) у V8, механізмі JavaScript браузера Edge».
Хоча JIT не знайомий більшості користувачів, він виконує ключову роль у веб-браузерах. JIT працює, беручи JavaScript і організовуючи його в машинному коді. Якщо браузеру потрібен код, він отримує істотне збільшення швидкості. Якщо це не так, код потім відкидається.
Однак підтримка JIT у V8 є складною. Норман сказав, що лише в 2019 році проблеми безпеки, пов'язані з JIT, становили 45% усіх уразливостей V8. Крім того, більше половини «диких» експлойтів Chrome залежать від помилок, пов’язаних із JIT.
Норман також додає, що нещодавні тести, проведені командою Microsoft Edge, показали, що, незважаючи на свою вирішальну роль у прискоренні роботи браузерів, JIT більше не є основною характеристикою продуктивності Edge.
Super Duper Secure Mode вимикає JIT, але в той же час включає дві інші функції безпеки, які називаються технологією Control-flow-Enforcement (CET) і Arbitrary Code Guard (ACG) — дві функції, які зазвичай суперечать виконанню JIT у V8.
Super Duper Secure Mode наразі позначений як експеримент, і поки що не планується надсилати його користувачам. Однак ця функція вже доступна для тестування. Користувачі Edge Canary, Dev і Beta можуть перейти за такою адресою та ввімкнути цю функцію у своїх браузерах Edge:
Хоча ще невідомо, чи буде ця технологія запущена як функція, за словами Джонатана Нормана, спробувати все ще варто. Користувачі також можуть протестувати цю технологію та залишити цінний відгук для команди розробників на Microsoft Edge Insider.