Microsoft Edge je nyní bezpečnější díky Super-Duper Secure Mode
V oficiálním blogu tým Microsoft Browser Vulnerability Research podrobně popisuje nový příznak pro Microsoft Edge s názvem "Super-Duper Secure Mode." Má v úmyslu zlepšit zabezpečení Edge vypnutím kompilace JIT (Just-in-Time) ve V8 JavaScript engine. Microsoft říká, že chyby v JavaScriptu v moderních prohlížečích jsou nejčastějším vektorem útočníků. Podle údajů CVE z roku 2019 se přibližně 45 % útoků na V8 týká JIT. Zakázáním této součásti bude Microsoft Edge bezpečnější a bude obtížnější jej prolomit. „Super-Duper Secure Mode“ také zahrnuje další bezpečnostní opatření a zmírnění.
JIT (také známý jako „spekulativní optimalizace“) byl představen v roce 2008 jako výkonnostní nástroj pro urychlení scénářů JavaScriptu. Díky předkompilaci kódu JavaScript před tím, než jej prohlížeč potřebuje, je prohlížení rychlejší a rychlejší. Bohužel tento složitý mechanismus nabízí zlepšení výkonu za cenu zabezpečení. Microsoft tvrdí, že je možné opravit polovinu chyb v enginu V8 vypnutím JIT. Podle Mozilly také více než polovina všech existujících exploitů Chrome zneužívá chyby JIT. Protože většina uživatelů myslí především na výkon a často ignoruje zabezpečení, jsou vývojáři ochotni riskovat, aby byly prohlížeče chytřejší.
Tým Microsoft Browser Vulnerability Research provedl řadu testů, aby ověřil, jak velký pokles výkonu zaznamená prohlížeč Edge se zakázaným JIT. Tyto testy zahrnují testy napájení, spouštění, paměti a načítání stránky. Protože JIT je nástroj zlepšující výkon, dochází k určitým regresím. Také benchmarky JavaScriptu, jako je Speedometer 2.0, ukázaly významný pokles výsledků až o 58 %. Navzdory tomu Microsoft říká, že uživatelé si nevšimnou snížení výkonu, protože tento benchmark „pouze říká součástí většího příběhu." Podle výzkumu si uživatelé ve skutečnosti jen zřídka všimnou rozdílu ve svém každodenním životě použití.
Microsoft nechce hned zakázat JIT v prohlížeči Edge. Společnost se teprve rozhodla, zda lepší zabezpečení stojí za nějaké snížení výkonu, takže výzkumný tým bude pokračovat ve vyhodnocování faktorů, které ovlivňují výkon, a scénářů použití.
Povolte režim Super-Duper Secure v Edge
Edge Beta, Dev a Canary nyní nabízejí příznak Super-Duper Secure Mode edge://flags sekce. Vyzkoušíte si, jak deaktivace JIT ovlivní váš zážitek z prohlížení tím, že přejdete na edge://flags/edge-enable-super-duper-security-mode a povolení režimu Super-Duper Secure.
Od této chvíle je to jen experiment s nepředvídatelným názvem, který Microsoft slibuje změnit, pokud se dostane k veřejnému vydání. Super-Duper Secure Mode v Edge podléhá změnám a Microsoftu můžete pomoci vyhodnotit efektivitu jeho testováním v jednom z testovacích kanálů.
Další informace o Super-Duper Secure Mode v Microsoft Edge v a blogový příspěvek na oficiálním blogu Microsoft Browser Vulnerability Research.
