Abo
  • Services:

Edge: Wie Microsoft seinen neuen Browser absichern will

Detailliert beschreibt Microsoft neue und bekannte Techniken, mit denen die Sicherheit des Edge-Browsers "fundamental" verbessert werden soll. Dabei hilft auch der Verzicht auf alte Technik des Internet Explorers.

Artikel veröffentlicht am ,
Microsoft Edge soll deutlich sicherer werden als bestehende Browser.
Microsoft Edge soll deutlich sicherer werden als bestehende Browser. (Bild: Microsoft)

Um Microsofts neuen Browser Edge sicherer als andere zu machen, setzen die Entwickler auf viele verschiedene Techniken, die das Unternehmen in einem Blogeintrag zusammenfasst. Einige davon sind längst Standard in anderen Browsern, andere stammen aus der Entwicklung von Windows 10 oder sind eigens für Edge entstanden.

Stellenmarkt
  1. Personalwerk Holding GmbH, Wiesbaden
  2. über duerenhoff GmbH, Region Münster

So unterstützt Edge etwa die sogenannte Content Security Policy (CSP), einen speziellen HTTP-Header, der effektiv vor Cross-Site-Scripting-Lücken schützen kann. Ebenso beherrscht Edge HTTP Strict Transport Security (HSTS), eine Erweiterung, mit der eine Webseite einem Browser mitteilen kann, dass künftig unverschlüsselte HTTP-Verbindungen nicht mehr zulässig sind.

Angriffe auf den Browser sollen darüber hinaus durch das neue Modell für Erweiterungen erschwert werden. So verzichtet Edge auf viel proprietären Ballast wie ActiveX und forciert dagegen die Verwendung von HTML5 und Javascript. Noch planen die Entwickler allerdings die Details dazu.

Dies ermöglicht nach Unternehmensangaben außerdem die durchgehende Verwendung des mit dem Internet Explorer 10 veröffentlichten Enhanced Protected Mode (EPM). Dadurch kann Edge einen viel stärkeren Gebrauch von App-Container-Sandboxes machen, so dass jede dargestellte Seite in eine eigene Sandbox "gesperrt" wird.

Besserer Umgang mit dem Arbeitsspeicher

Da der Edge-Browser eine 64-Bit-Anwendung ist, sollte auch die in Windows genutzte Address Space Layout Randomization (ASLR) deutlich mehr Sicherheit bieten. Unter bestimmten Umständen kann ASLR in 32-Bit-Umgebungen an Wirksamkeit einbüßen.

Den in C- und C++-Code immer wieder auftretenden Fehlern bei der Speicherverwaltung will Microsoft mit einer Garbage Collection (MemGC) entgegentreten. Diese soll den Browser vor allem vor Use-After-Free-Lücken bewahren und basiert offenbar auf einer Referenzzählung. Zudem nutzt Edge den Control Flow Guard (CFG). Dabei handelt es sich um eine Erweiterung aus Visual Studio, die Mechanismen zur Überprüfung in den Code kompiliert, welche die möglichen Positionen stark einschränken soll, an die Schadcode springen kann.

Während der Vorschauphase für Windows 10 betreibt Microsoft zudem ein Bug-Bounty-Programm für Edge, bei dem für das Auffinden kritischer Lücken bis zu 15.000 US-Dollar gezahlt werden.



Anzeige
Top-Angebote
  1. (u. a. Fast & Furious 7, Star Trek: Into Darkness, Fifty Shades of Grey, Jurassic World, Hulk...
  2. (u. a. DOOM 7,99€, Lords of the Fallen - Game of the Year Edition 3,99€, Dawn of War III 16...
  3. 864,99€ mit Gutschein: Z650 (Vergleichspreis 964,98€)

TheUnichi 20. Mai 2015

Sandboxed-Tabs und ein sicherer Browser sind zwei verschiedene Dinge. Nur weil Chrome...

SchmuseTigger 15. Mai 2015

Eine Backdoor in einem Browser. Sprich das der NSA schaut was genau du anschaust. Du...

SchmuseTigger 15. Mai 2015

Amazon wusste ich, Netflix nicht. Aber Amazon hat (glaube ich) keinen HTML5 player...

GodsBoss 15. Mai 2015

Bei Chrome weiß ich es nicht, aber Firefox-Extensions? Nie im Leben wird das klappen...

FreiGeistler 13. Mai 2015

Zuviel Werbung für das 'Galaxy S6 Edge' gesehen. M.e. viel Werbung und nichts dahinter...


Folgen Sie uns
       


Nach E-Fail, was tun ohne sichere E-Mails - Livestream

Die E-Fail genannte Sicherheitslücke betrifft die standardisierten E-Mail-Verschlüsselungsverfahren OpenPGP und S/MIME. Im Livestream diskutieren wir den technischen Hintergrund der zuletzt aufgedeckten Lücken und besprechen, was Nutzer nun tun können, wenn sie ihre Nachrichten weiter sicher verschicken wollen.

Nach E-Fail, was tun ohne sichere E-Mails - Livestream Video aufrufen
Recycling: Die Plastikwaschmaschine
Recycling
Die Plastikwaschmaschine

Seit Kurzem importiert China kaum noch Müll aus dem Ausland. Damit hat Deutschland ein Problem. Wohin mit all dem Kunststoffabfall? Michael Hofmann will die Lösung kennen: Er bietet eine Technologie an, die den Abfall in Wertstoff verwandelt.
Ein Bericht von Daniel Hautmann


    Wonder Workshop Cue im Test: Der Spielzeugroboter kommt ins Flegelalter
    Wonder Workshop Cue im Test
    Der Spielzeugroboter kommt ins Flegelalter

    Bislang herrschte vor allem ein Niedlichkeitswettbewerb zwischen populären Spiel- und Lernrobotern für Kinder, jetzt durchbricht ein Roboter für jüngere Teenager das Schema nicht nur optisch: Cue fällt auch durch ein eher loseres Mundwerk auf.
    Ein Test von Alexander Merz


      Google I/O 2018: Eine Entwicklerkonferenz für Entwickler
      Google I/O 2018
      Eine Entwicklerkonferenz für Entwickler

      Google I/O 2018 Die Google I/O präsentiert sich erneut als Messe für Entwickler und weniger für konventionelle Nutzer. Die Änderungen bei Maps, Google Lens oder News sind zwar nett, spannend wird es aber mit Linux-Apps auf Chromebooks.
      Eine Analyse von Tobias Költzsch, Ingo Pakalski und Sebastian Grüner

      1. Google Android P trennt stärker zwischen Privat und Arbeit
      2. Smartwatch Zweite Vorschau von Wear OS bringt neuen Akkusparmodus
      3. Augmented Reality Google unterstützt mit ARCore künftig auch iOS

        •  /