Microsoft eksperimenterer med at deaktivere JIT JavaScript-compileren i et forsøg på at give bedre sikkerhed.
Lederen af Microsoft Edge Vulnerability Research har Johnathan Norman detaljeret et eksperiment i Edge, der deaktiverede JavaScript just-in-time (JIT) compileren for at aktivere nogle ekstra sikkerhedsbeskyttelser.
Beskriver JIT-kompilering som en "bemærkelsesværdig kompleks proces, som meget få mennesker forstår, og den har en lille margin for fejl", påpegede Norman, at halvdelen af alle sårbarheder for V8 JavaScript-motoren var relateret til behandle.
Med JIT-motoren slukket, var det muligt for Edge at aktivere beskyttelser - såsom den hardwarebaserede Control-flow Enforcement Teknologi (CET) fra Intel, og Windows' Arbitrary Code Guard (ACG) og Control Flow Guard (CFG) -- der tidligere var inkompatible med JIT.
"Dette er uheldigt, fordi gengivelsesprocessen håndterer ikke-pålideligt indhold og bør låses ned så meget som muligt," sagde Norman.
"Ved at deaktivere JIT kan vi aktivere både begrænsninger og gøre udnyttelse af sikkerhedsfejl i enhver renderer-proceskomponent vanskeligere.
"Denne reduktion i angrebsoverflade dræber halvdelen af de fejl, vi ser i udnyttelser, og hver resterende fejl bliver sværere at udnytte. For at sige det på en anden måde sænker vi omkostningerne for brugerne, men øger omkostningerne for angriberne."
Ved test af Edge med JIT deaktiveret sagde Norman, at brugerne sjældent bemærkede en forskel i den daglige browsing, men den JIT-løse Edge blev testet i benchmark-tests, hvor ydeevnen blev reduceret med så meget som 58 %.
"Vores test, der målte forbedringer i strøm, viste 15 % forbedring i gennemsnit, og vores regressioner viste omkring 11 % stigning i strømforbrug. Hukommelse er også en blandet historie med negativt påvirkede tests, der viser en 2,3% regression, men en større gevinst på de test, der viste forbedringer," skrev Norman.
"Sideindlæsningstider viser det mest alvorlige fald med test, der viser regressioner i gennemsnit omkring 17 %. Opstartstider har dog kun en positiv indvirkning og ingen regression."
Super Duper Secure Mode er i øjeblikket tilgængelig via edge://flags for brugere af canary, dev og beta frigiver browserens kanaler og tænder i øjeblikket CET, men er i øjeblikket ikke kompatibel med WebAssembly.
"Det vil tage noget tid, men vi håber at have CET-, ACG- og CFG-beskyttelse i gengivelsesprocessen. Når det er afsluttet, håber vi at finde en måde at muliggøre disse begrænsninger på intelligent vis baseret på risiko og give brugerne mulighed for at balancere afvejningen," sagde Norman.
”Dette er selvfølgelig bare et eksperiment; ting kan ændres, og vi har en del tekniske udfordringer at overvinde. Også vores tunge-i-kind-navn skal sandsynligvis ændres til noget mere professionelt, når vi lancerer som en funktion."
På Twitter sagde Norman planer var undervejs for at tage Super Duper Mode til MacOS og Android, og for at få WebAssembly til at fungere.
Relateret dækning
- Windows 11 har avanceret hardwaresikkerhed. Sådan får du det i Windows 10 i dag
- Microsoft Edge 92 begynder at rulle ud til almindelige brugere
- Få patching: USA, Storbritannien og Australien udsender fælles rådgivning om top 30 udnyttede sårbarheder
- Windows Print Spooler ramt med lokal privilegieeskaleringssårbarhed
- Microsoft supportagent og nogle grundlæggende kundeoplysninger ramt af SolarWinds-angribere