Microsoft experimenteert met "Super Duper Secure Mode" voor Edge
Microsoft experimenteert met een "Super Duper Secure Mode" voor Edge die gebruikers tegen kwetsbaarheden in de browser moet beschermen door een specifiek onderdeel uit te schakelen. Veel van de beveiligingslekken waar op Chromium gebaseerde browsers zoals Edge mee te maken hebben bevinden zich in de V8 JavaScript-engine die browsers gebruiken voor het uitvoeren van JavaScript.
Het gaat dan met name om het deel dat voor "Just-In-Time Compilation" (JIT) verantwoordelijk is. JIT is ontworpen om het uitvoeren van bepaalde JavaScript-taken te versnellen. Hiervoor wordt JavaScript voordat het wordt gebruikt gecompileerd in machine code. Wanneer de browser deze code nodig heeft is het aanwezig, wat een groot prestatievoordeel biedt.
"Prestaties en complexiteit hebben een prijs", zegt Microsofts Johnathan Norman. Dit is vaak te zien in de vorm van kwetsbaarheden en daaropvolgende beveiligingsupdates. Bijna de helft van alle kwetsbaarheden in de V8-engine hebben met het JIT-gedeelte te maken. Daarom is Microsoft een experiment gestart waarbij het JIT binnen Edge wil uitschakelen. Iets dat Norman de "Super Duper Secure Mode" heeft genoemd.
Uit onderzoek dat het Edge-team uitvoerde bleek dat het uitschakelen van JIT nauwelijks merkbaar voor gebruikers is. Verder blijkt het uitschakelen van JIT niet alleen beveiligingsvoordelen te hebben, ook qua stroomverbruik zijn er verbeteringen zichtbaar. Het is volgens Norman nog onduidelijk of de Super Duper Secure Mode als een feature in de definitieve versie van Edge beschikbaar komt, maar het is wel in de Canary-, Dev- en Beta-versies van de browser te testen via de optie: edge://flags/#edge-enable-super-duper-secure-mode.
Uit het feit dat het nauwelijks merkbaar is (geen noemenswaardig performanceverschil geeft), concludeer ik, dat nagenoeg alle javascript code al gedraaid wordt (en dus gecompileerd moet worden) bij het laden van een pagina.
Waarom gebruik van JIT gepaard gaat met meer security problemen is mij niet duidelijk. Is er meer veiligheid door de javascript compiler met totaal andere sandboxing beveiliging kan draaien dan de gecompileerde code? Of is een JIT compiler zoveel ingewikkelder dat het zelfs met sandboxing niet veilig te krijgen is?
Waarom gebruik van JIT gepaard gaat met meer security problemen is mij niet duidelijk. Is er meer veiligheid door de javascript compiler met totaal andere sandboxing beveiliging kan draaien dan de gecompileerde code? Of is een JIT compiler zoveel ingewikkelder dat het zelfs met sandboxing niet veilig te krijgen is?
Meer geheugen merk ik zeker wel. 8/16 of 32 maakt best wel het nodige uit op mijn machines met wat ik doe. En dat is gewoon normaal Office / browsen (Chrome/EDGE/FireFox).
Meer geheugen merk ik zeker wel. 8/16 of 32 maakt best wel het nodige uit op mijn machines met wat ik doe. En dat is gewoon normaal Office / browsen (Chrome/EDGE/FireFox).
Inderdaad want mijn kloksnelheid 2,4GHz laptop met 8 GiB geheugen draait de allerzwaarste applicaties als een zonnetje onder Linux. Misschien dat meer geheugen zin zou hebben als ik bv. hoge resolutie foto's of video's wil gaan bewerken. Zelfs een telefoon produceert tegenwoordig beelden met absurde resoluties.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
