「Google Chrome」、新セキュリティー機能「V8 Sandbox」を間もなく実装

今回は「「Google Chrome」、新セキュリティー機能「V8 Sandbox」を間もなく実装」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 「Google Chrome」は最も広く利用されているウェブブラウザーであることから、ずっと標的にされている。そのためハッカー、ならず者、脆弱性などさまざまな問題に対処するため、Googleは常にセキュリティに手を加えている。

 Googleが最新の声明で「V8 Sandbox」を紹介した。これはGoogleのJavaScriptエンジンである「V8」の軽量なインプロセスサンドボックスであり、V8内の典型的な脆弱性を防ぐように作られている。

 V8 SandboxのReadmeファイルには、「このサンドボックスは、V8によるコード実行をプロセスの仮想アドレス空間(「サンドボックス」)のサブセットに限定し、それによりプロセスの残りから分離することによって、V8の典型的な脆弱性の影響を制限する」とある。

 仕組みとしては純粋にソフトウェア内で機能するもので、具体的には、サンドボックスのベースからのオフセットか、サンドボックス外のポインターテーブルへのインデックスに生ポインターを変換することでこれを実現している(ハードウェアサポートのオプションについては、Readmeファイル後段からリンクされている各設計書を参照)。大筋は、モダンOSで採用されているユーザーランドとカーネルの分離(例:UNIXのファイル記述子テーブル)にとてもよく似ている。

 V8 Sandboxの設計書が最初に公開されたのは3年ほど前のことだ。以降、試験的なものではなくなったと考えられるところまで進化した。動機については、当初の設計書で次のように述べられている。「V8のバグは多くの場合、並外れて強力であてになるエクスプロイトの構築を許してしまう。さらには、メモリーセーフな言語でも、メモリータギング拡張機能(MTE)や制御フロー整合性(CFI)といったハードウェアを活用する今後のセキュリティ機能でも、緩和される可能性が低い。そのため、現実世界の攻撃者からすると、V8は極めて魅力がある」

 Googleが今回のセキュリティ機能を開発したいちばんの理由は、Chromeのゼロデイ脆弱性の多くでV8が中心になっているからだ。「Chromium」チームは(V8 SandboxのReadmeファイルで)次のように述べている。「V8の典型的な脆弱性からプリミティブを構築できることから、このサンドボックスでは、サンドボックスのアドレス空間内のあらゆるメモリーについて、攻撃者が任意に、かつ同時に変更できるものと想定している」

 今回のサンドボックス機能による、ブラウザーのスピードダウンを懸念する人がいるかもしれない(サンドボックス化では起こりえることだ)が、Chromiumチームによるベンチーマークによると、通常のワークフローで約1%の速度低下にとどまるようだ。

 V8はまだ開発中だが、「Android」「ChromeOS」「Linux」「macOS」「Windows」においてChromeのバージョン123からデフォルトで有効にされるだろう。つまり、間もなく実装されるはずだ。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
再利用可能なパッケージを提供するReturnityが約3.6億円調達、ダンボールやプラスチックの使い捨て包装の廃棄物を減らす
IT関連
2022-02-20 06:27
三菱電機、従業員体験の向上・改善で職場変革
IT関連
2021-05-18 03:01
ガジェット利用の持続可能性を向上–環境配慮とコスト削減に役立つ6つの方法
IT関連
2023-02-25 14:46
ソフトウェアのサプライチェーンセキュリティは大きな懸念材料–テナブルのCEO
IT関連
2022-12-08 22:42
インド最高裁がFutureとRelianceの3740億円の取引を停止する判決、アマゾンを支持
その他
2021-08-09 12:23
コロナ禍終息後の世界でIT支出はどう変わるのか
IT関連
2021-07-28 19:34
SCSK、 Sansanとの連携でSAP向け請求書業務効率化テンプレートを提供
IT関連
2023-04-12 21:04
クラウドコンピューティングは今後数年でCO2削減にどれほど寄与するか–IDC
IT関連
2021-03-21 13:23
デジタルウォレットの相互運用性を目指す団体、The Linux Foundationが設立へ
IT関連
2022-09-17 03:45
NEC、2023年度第3四半期決算も増収増益–ITサービス事業が好調
IT関連
2024-02-01 17:33
AWS、「Amazon ECS Anywhere」の一般提供開始
IT関連
2021-05-28 16:12
オリックス銀行、日立製作所をクラウド運用変革の支援パートナーに選定
IT関連
2024-04-20 22:25
エコノミークラスの座席生地で作ったPCケース ANAが初の製品化
くらテク
2021-06-23 23:53
「Windows 365」の無料試用枠、1日で予定数に達して終了(再開予定あり)
アプリ・Web
2021-08-06 17:44