Spectre: Google macht Seiten-Isolierung in Chrome zum Standard

Um Nutzer besser gegen Angriffe wie Spectre zu schützen, nutzt der Chrome-Browser nun standardmäßig eine strikte Isolierung von Webseiten. Bisherige Änderungen an Javascript gegen Spectre sollen aufgehoben werden. Das Team will gegen weitere Angriffsvektoren vorgehen.

Artikel veröffentlicht am ,
Googles Chrome nutzt noch mehr Prozesse für eine bessere Isolierung.
Googles Chrome nutzt noch mehr Prozesse für eine bessere Isolierung. (Bild: Shrijagannatha, Wikimedia Commons/CC-BY-SA 4.0)

Auf die Veröffentlichung der Spectre-Angriffe Anfang dieses Jahres reagierten die vier großen Browserhersteller in einer koordinierten Aktion mit Notfallpatches, die die Genauigkeit von Timern reduzieren und die Sharedarraybuffer-Funktion deaktivieren. Damit sollen die Timing-Angriffe von Spectre verhindert werden. Google hat zusätzlich die Verwendung der Enterprise-Funktion zur strikten Seiten-Isolierung empfohlen. Letzteres ist nun in Chrome 67 standardmäßig für fast alle Nutzer aktiviert, wie das Unternehmen in seinem Security-Blog mitteilt.

Stellenmarkt
  1. Product Owner Microsoft Dynamics NAV (m/f/d)
    Autodoc AG, Berlin, Moldawien, Ukraine, Polen, Tschechische Republik (Home-Office)
  2. Digitalkoordinator/in (w/m/d)
    Stadt NÜRNBERG, Nürnberg
Detailsuche

Das Ziel beim Ausnutzen der Spectre-Lücken ist es, Zugriff auf Speicherbereiche zu erhalten, die Angreifern eigentlich verwehrt bleiben sollten. Bisher nutzte die Multi-Prozessarchitektur von Chrome üblicherweise einen Prozess pro Tab. Gelang es Angreifern, eigene Seiteninhalte etwa per Cross-Site-Iframe oder -Pop-Up ihren Opfern auf anderen Seiten unterzuschieben, sei es theoretisch möglich gewesen, dass Code von Angreifern im gleichen Prozess wie der Rest der Seite lief. Mittels Spectre hätten so Daten wie Passwörter ausgelesen werden können.

Für die strikte Seiten-Isolierung trennt Chrome die Inhalte einer Seite beziehungsweise eines Tabs aber noch weiter auf und setzt dafür unter anderem auf mehrere Rendering-Prozesse für die einzelnen Inhalte einer Seite, die von verschiedenen Quellen stammen. Chrome nutzt außerdem eine Richtlinie für die Technik Cross-Origin Read Blocking (CORB). Damit soll das Nachladen eventuell bösartiger Inhalte erkannt und verhindert werden, bevor diese den Browser erreichen. Der Nachteil der strikteren Isolierung sind mehr Prozesse und damit eine zehn Prozent höhere Speichernutzung als bisher.

Google hat die Seiten-Isolierung für 99 Prozent der Chrome-Nutzer ausgerollt. Das restliche 1 Prozent der Nutzer dient zum Überwachen und Beheben von möglichen Leistungseinbußen. Weil mit der Seiten-Isolierung die von Spectre ausgehende Gefahr deutlich reduziert wird, will das Team künftig die Genauigkeit der eingangs erwähnten Timer wieder erhöhen und auch das Sharedarraybuffer wieder zur Nutzung freigeben. Das Team arbeitet darüber hinaus an weiteren Sicherheitsvorkehrungen, die etwa gegen von Angreifern vollständig übernommene Render-Prozesse schützen sollen. Die Seiten-Isolierung soll mit dem kommenden Chrome 68 auch auf Android ausgerollt werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Wemax Go Pro
Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand

Der Wemax Go Pro setzt auf Lasertechnik von Xiaomi. Der Beamer ist klein und kompakt, soll aber ein großes Bild an die Wand strahlen können.

Wemax Go Pro: Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand
Artikel
  1. Snapdragon 8cx Gen 3: Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel
    Snapdragon 8cx Gen 3
    Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel

    In Geekbench wurde der Qualcomm Snapdragon 8cx Gen 3 gesichtet. Er kann sich mit Intel- und AMD-CPUs messen, mit Apples M1 aber wohl nicht.

  2. Air4: Renault 4 als Flugauto neu interpretiert
    Air4
    Renault 4 als Flugauto neu interpretiert

    Der Air4 ist Renaults Idee, wie ein fliegender Renault 4 aussehen könnte. Mit der Drohne wird das 60jährige Jubiläum des Kultautos gefeiert.

  3. MS Satoshi: Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs
    MS Satoshi
    Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs

    Kryptogeld-Enthusiasten kauften ein Kreuzfahrtschiff und wollten es zum schwimmenden Freiheitsparadies machen. Allerdings scheiterten sie an jeder einzelnen Stelle.
    Von Elke Wittich

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Black Friday Wochenende • WD Blue SN550 2 TB ab 149€ • LG UltraGear 34GP950G-B 999€ • SanDisk Ultra 3D 500 GB M.2 44€ • Boxsets (u. a. Game of Thrones Blu-ray 79,97€) • Samsung Galaxy S21 128GB 777€ • Premium-Laptops • Cooler Master V850 Platinum 189,90€ • Astro Gaming Headsets [Werbung]
    •  /