Chrome启动网站隔离机制以防止Spectre攻击
2018-07-12 17:44:33 | 来源:ithome | 投稿:小柯 | 编辑:dations

原标题:Chrome启动网站隔离机制以防止Spectre攻击

示意图,与新闻事件无关。

图片来源:

Google

Google周三(7/11)表示,已于今年5月出炉的Chrome△67中将“网站隔离”(Site△Isolation)机制列为预设值,可有效缓解Spectre攻击,现已覆盖99%的Chrome桌面用户,涵盖Windows、macOS、Linux与Chrome△OS。

网站隔离机制最早现身于去年12月问世的Chrome△63,当时只是Chrome浏览器的选项,必须手动启用,但这段日子以来Google已经解决了该机制的许多已知问题,才让它成为Chrome桌面浏览器的预设值。

Spectre是由CPU推测执行漏洞所引发的攻击手法,还在5月出现变种,它利用多数CPU具备的推测执行功能来存取记忆体,再通过定时攻击找出存放于记忆体中的值,代表恶意程式有机会在其程序的位址空间读取任何记忆体。

Google表示,此类攻击与浏览器关系密切,因为浏览器可能会执行来自不同网站的JavaScript,且经常是在同一程序中,理论上一个网站得以绕过同源政策,借由该攻击窃取其它网站的资讯。

至于网站隔离则是Chrome架构上的重大变更,它让每个描绘程序只适用于来自单一网站的文件,这使得Chrome得以依赖作业系统来避免程序间或网站间的攻击。在启用网站隔离之后,每个描绘程序最多只含有来自单一网站的各种文件,因此,所有跨站文件都会让分页切换程序,所有的跨站iframes也会被置放在不同的程序中,将单一网页拆分成不同的程序为Chrome运作上的主要变化。

Google坦承,网站隔离的确让Chrome建立了更多的描绘程序且波及了效能,然而,这些描绘程序更小、寿命更短,内部争用情况也较少,只是会占用10~13%的记忆体资源,Chrome团队正努力权衡与最佳化网站隔离在效能与安全上的表现。

至于网站隔离机制为什么只覆盖了99%的Chrome△67桌面用户,Google则说这是因为要留下1%来作为监控及效能改善之用。

在有了网站隔离之后,就算真有恶意网页嵌入了Spectre攻击,其它网站上的资料也不会被载入同样的程序中,意谓着骇客只能窃取更少的资料,可有效减轻相关攻击的威胁。

Google会将网站隔离机制嵌入Chrome△68 for△Android,但初期也必须经由用户手动启用,也会持续强化网站隔离的安全能力,让它能够防范除了Spectre以外的更多威胁。

tags:

上一篇  下一篇

相关:

Chrome扩充程式Hola VPN开发者帐号遭骇,成为攻击加密货币钱包MyEtherWallet的跳板

示意图,与新闻事件无关。 热门的加密货币钱包MyEtherWallet周二(7/10)紧急警告有骇客利用Chrome扩充程式Hola△VPN将MyEtherWallet用户引导至钓鱼网站,骗取用户的帐号资料;Hola△VPN则坦承该程式的开发者帐号被

小米上市了! 跃升全球市值排名第三的智能手机制造商

示意图,与新闻事件无关。 小米集团于本周一(7/9)正式登上香港交易所,股票代号为01810-HK的小米发行价为17元港币(约66.6元新台币),但开盘价只有16.6元港币(65元新台币),以16.8元港币(65.8元新台币)作收

社交网站时光机app Timehop惊爆遭骇,2100万用户个资外泄

示意图,与新闻事件无关。 图片来源: Timehop 社交网站风险高!提供脸书及推特过去贴文回顾的appTimehop周日公告上周7月4日遭骇传出重大资安事件,2100万名用户个资外泄,而且骇客也曾取得用户存取脸书、推特、IG等

2020年去美国网站更快 - 3 巨头 中移、FB、Amazon 合资新光纤 | 香港 UNWIRE.HK 玩生活.乐科技

光纤面世至今,一直是跨国网络的重要传输媒介。如今,日本电气(NEC)宣布取得负责兴建一条连接美国、香港及新加坡的 BtoBE (Bay to Bay Express Cable System)超长途海底光纤网络的合约,总长度达到 16,000 公里。

社交网站诈骗歪风吹向Instagram,而且日益猖獗

四叶草IG帐号首页 脸书、Twitter、Instagram、LinkedIn等社交网站,已经与我们的生活连结,甚至随着实名制度,这些网站的帐号,形同代表个人,变成与这个人沟通的管道,不少人甚至将社交网站应用于商业活动的往来之

站长推荐: