示意圖,與新聞事件無關。

圖片來源: 

Google

Google周三(7/11)表示,已於今年5月出爐的Chrome 67中將「網站隔離」(Site Isolation)機制列為預設值,可有效緩解Spectre攻擊,現已覆蓋99%的Chrome桌面用戶,涵蓋Windows、macOS、Linux與Chrome OS。

網站隔離機制最早現身於去年12月問世的Chrome 63,當時只是Chrome瀏覽器的選項,必須手動啟用,但這段日子以來Google已經解決了該機制的許多已知問題,才讓它成為Chrome桌面瀏覽器的預設值。

Spectre是由CPU推測執行漏洞所引發的攻擊手法,還在5月出現變種,它利用多數CPU具備的推測執行功能來存取記憶體,再透過定時攻擊找出存放於記憶體中的值,代表惡意程式有機會在其程序的位址空間讀取任何記憶體。

Google表示,此類攻擊與瀏覽器關係密切,因為瀏覽器可能會執行來自不同網站的JavaScript,且經常是在同一程序中,理論上一個網站得以繞過同源政策,藉由該攻擊竊取其它網站的資訊。

至於網站隔離則是Chrome架構上的重大變更,它讓每個描繪程序只適用於來自單一網站的文件,這使得Chrome得以仰賴作業系統來避免程序間或網站間的攻擊。在啟用網站隔離之後,每個描繪程序最多只含有來自單一網站的各種文件,因此,所有跨站文件都會讓分頁切換程序,所有的跨站iframes也會被置放在不同的程序中,將單一網頁拆分成不同的程序為Chrome運作上的主要變化。

Google坦承,網站隔離的確讓Chrome建立了更多的描繪程序且波及了效能,然而,這些描繪程序更小、壽命更短,內部爭用情況也較少,只是會佔用10~13%的記憶體資源,Chrome團隊正努力權衡與最佳化網站隔離在效能與安全上的表現。

至於網站隔離機制為什麼只覆蓋了99%的Chrome 67桌面用戶,Google則說這是因為要留下1%來作為監控及效能改善之用。

在有了網站隔離之後,就算真有惡意網頁嵌入了Spectre攻擊,其它網站上的資料也不會被載入同樣的程序中,意謂著駭客只能竊取更少的資料,可有效減輕相關攻擊的威脅。

Google會將網站隔離機制嵌入Chrome 68 for Android,但初期也必須經由用戶手動啟用,也會持續強化網站隔離的安全能力,讓它能夠防範除了Spectre以外的更多威脅。


Advertisement

更多 iThome相關內容