Microsoft, Edge Vulnerability Research (Güvenlik Açığı Araştırmaları) ekibinin “Süper Duper Secure Mode” adını verdiği ve önemli performans kayıpları olmadan güvenlik iyileştirmeleri sağlamak üzere tasarlanan yeni bir özelliği denediği duyuruldu.
Yeni Microsoft Edge Super Duper Güvenli Mod etkinleştirildiğinde, Tam Zamanında Derlemeyi (JIT) V8 işleme hattından kaldıracak ve tehdit aktörlerinin Edge kullanıcılarının sistemlerine girmek için kullanabileceği saldırı yüzeyini azaltacaktır.
Performanstan büyük tavizler vermeden güvenlik sağlanıyor
2019’dan bu yana toplanan CVE (Ortak Güvenlik Açıkları ve Etkilenmeler) verilerine göre, V8 JavaScript ve WebAssembly motorunda bulunan güvenlik açıklarının yaklaşık %45’i JIT motoruyla ilgiliydi ve tüm “doğal” Chrome istismarlarının yarısından fazlası JIT hatalarını kötüye kullanmakta.
Microsoft Edge Güvenlik Açığı Araştırmaları ekip lideri olan Johnathan Norman, “Saldırı yüzeyinin bu şekilde azaltılması, kullanıcı güvenliğini önemli ölçüde artırma potansiyeline sahip; düzeltilmesi gereken V8 hatalarının yaklaşık yarısı ortadan kalkmış olacak” dedi.
“Saldırı yüzeyindeki bu azalma, açıklardan yararlanmalarda gördüğümüz hataların yarısını yok ediyor ve kalan her hatanın kötüye kullanılması daha zor hale geliyor. Başka bir deyişle, kullanıcılar için maliyetleri düşürürken saldırganlar için maliyetleri artırıyoruz.”
Ek olarak, JIT derleyicisi programın yürütülmesi sırasında (çalışma zamanında) bilgisayarı derleyerek performansı artırmak için tasarlanırken, Super Duper Secure Mode’da devre dışı bırakılması “her zaman olumsuz etkilere sahip olmayacak.”
Henüz deneme aşamasında olan Super Duper Secure Mode, Microsoft Edge önizleme sürümlerinin (Beta, Dev ve Canary dahil) kullanıcıları tarafından “edge://flags/#edge-enable-super-duper-secure-mode” adresine gidilerek yeni özelliğin “enable” hale getirilmesiyle denenebilir.
Super Duper Güvenli Mod şu anda etkinleştirildiğinde, JIT’yi (TurboFan/Sparkplug) devre dışı bırakıyor ve daha güvenli bir tarama deneyimi sağlamak için tasarlanmış Intel donanım tabanlı Kontrol Akışı Uygulama Teknolojisini (CET) etkinleştiriyor.
Microsoft ayrıca, çoğu web tarayıcısı istismarı tarafından kullanılan başka bir güvenlik zafiyeti olan Arbitrary Code Guard (ACG) için de kötü amaçlı kodların belleğe yüklenmesini önleyecek yeni özellikler eklemek istiyor.
Norman, “Bu elbette sadece bir deney; işler değişebilir ve üstesinden gelmemiz gereken birkaç teknik zorluk var,” dedi.
“Ayrıca, yeni güvenlik modu tam sürümü ile kullanıma sunulduğunda, şaka yollu koyduğumuz ismin de değişmesi gerekecek. Şimdilik onunla eğlenmeye devam edeceğiz.”
Kaynak: bleepingcomputer.com
Diğer Haberler
Kritik Zafiyet Endüstriyel Kontrol Cihazlarında Risk Yaratıyor
Yeni APT Grubu ASP.NET Exploit Kullanarak Microsoft IIS Sunucularına Saldırıyor
Cisco, VPN Yönlendiricilerdeki Yüksek Öneme Sahip Açıkları Düzeltti