Forskare från University of California San Diego, University of Texas i Austin, Stanford University och Mozilla har utvecklat ett nytt ramverk för att förbättra webbläsarens säkerhet. Ramverket, kallas RLBox, har integrerats i Firefox för att komplettera Firefox andra säkerhetshärdande insatser.

RLBox ökar webbläsarens säkerhet genom att separera tredjepartsbibliotek som är sårbara för attacker från resten av webbläsaren för att innehålla potentiella skador-en metod som kallas sandboxning. Studien kommer att publiceras i förhandlingarna vid USENIX Security Symposium.

Webbläsare, som Firefox, lita på tredjepartsbibliotek för att stödja medieavkodning (t.ex. återgivning av bilder eller uppspelning av ljudfiler) bland många andra funktioner. Dessa bibliotek är ofta skrivna på programmeringsspråk på låg nivå, som C, och mycket optimerad för prestanda.

"Tyvärr, buggar i C -kod är ofta säkerhetsproblem - säkerhetsproblem som angripare är riktigt bra på att utnyttja, "noterade seniorförfattaren Deian Stefan, en biträdande professor vid UC San Diego Department of Computer Science and Engineering.

RLBox tillåter webbläsare att fortsätta använda off-the-shelf, högt inställda bibliotek utan att oroa sig för dessa biblioteks säkerhetspåverkan. "Genom att isolera bibliotek kan vi se till att angripare inte kan utnyttja buggar i dessa bibliotek för att äventyra resten av webbläsaren, "sa den ledande doktoranden om projektet, Shravan Narayan.

En viktig del av RLBox är den bakomliggande sandboxningsmekanismen, som hindrar ett buggy -bibliotek från att störa resten av webbläsaren. Studien undersöker olika sandboxningstekniker med olika avvägningar. Men teamet samarbetade slutligen med ingenjörsteamet i San Francisco-baserade Fastly för att anta en sandboxningsteknik baserad på WebAssemble, ett nytt mellanspråk utformat med sandboxning i åtanke. Teamet tror att WebAssemble kommer att vara en viktig del av framtida säkra webbläsare och säkra system i större utsträckning. Webbmonteringssandboxningen är detaljerad i ett nyligen publicerat blogginlägg från Mozilla Hacks.

"Tyvärr, det räcker inte att lägga ett bibliotek i en sandlåda, du måste noggrant kontrollera all data som kommer ut ur sandlådan - annars kan en sofistikerad angripare lura webbläsaren till att göra fel och göra sandboxningseffekten värdelös, "sa Stefan. RLBox eliminerar dessa klasser av attacker genom att märka allt som passerar gränsen och se till att alla sådana taggade data valideras innan de används.

RLBox har integrerats i Mozillas Firefox och kommer att skickas till Linux -användare i Firefox 74 och Mac -användare i Firefox 75, med planer på att implementera i andra plattformar.

"Det här är en stor sak, "säger Bobby Holley, huvudingenjör på Mozilla. "Säkerhet är högsta prioritet för oss, och det är alldeles för lätt att göra farliga misstag i C/C ++. Vi skriver mycket ny kod i Rust, men Firefox är en enorm kodbas med miljontals rader C/C ++ som inte försvinner snart. RLBox gör det snabbt och enkelt att isolera befintliga bitar av kod i en detaljrikedom som inte har varit möjlig med sandboxning på processnivå som används i webbläsare idag. "

I studien, laget isolerade ett halvt dussin bibliotek med RLBox. Att börja, Firefox kommer att levereras med sitt sandlåda Graphite font formning bibliotek. Mozilla planerar att tillämpa sandlådan mer brett i framtiden, i slutändan gör miljontals användares webbläsare säkrare.