Microsoft presenta ‘Super Duper Secure Mode’ en la última versión de Edge

El navegador va más allá para protegerse contra errores al deshabilitar JIT

Microsoft ha presentado un «modo seguro Super Duper» en la última versión del navegador Edge, que brinda a los usuarios una mejor protección contra vulnerabilidades comunes.

La función se mencionó por primera vez en agosto, en una publicación de blog por el Gerente de Investigación de Vulnerabilidades de Edge, Johnathan Norman.

normando revelado en Twitter anoche (22 de noviembre) que la función se implementó «en secreto» en la última versión, 96.0.1054.29.

Conozca las últimas noticias sobre seguridad del navegador

Modo seguro Super Duper – también conocido como SDSM – ayuda a mitigar los ataques al navegador al deshabilitar el componente Just-In-Time en V8, una tecnología vinculada a una gran cantidad de vulnerabilidades de seguridad en los últimos años.

V8 es un motor JavaScript de código abierto que fue desarrollado por Chromium Project para Google Chrome y el navegador web Chromium (la base de código para las versiones recientes de Edge).

Los motores de JavaScript son «un desafío de seguridad notablemente difícil para los navegadores», explicó Norman, en parte debido al uso de la compilación Just-In-Time (JIT), también conocida como optimización especulativa.

Esta tecnología permite que los motores conviertan Javascript en el código de máquina justo antes de que se ejecute, lo que resulta en enormes ganancias en velocidad y usabilidad, pero pérdidas en seguridad.

Los motores JIT son generalmente vulnerables a errores de seguridad, aunque Norman dice que los desarrolladores están dispuestos a aceptar este costo porque los usuarios quieren su navegadores ser rápido «.

JIT hazlo

Para defenderse de la gran cantidad de errores que vienen con JIT, Super Duper Secure Mode desactiva el motor, eliminando «aproximadamente la mitad» de los problemas presentes.

Norman también señaló que los tiempos de rendimiento no se ven afectados significativamente por la desactivación del motor, por ejemplo, las pruebas que miden las mejoras de potencia han mostrado una mejora del 15% en promedio. Las regresiones mostraron un aumento del 11% en el consumo de energía.

Los tiempos de carga de la página, sin embargo, han mostrado regresiones [negative performance drops] en promedio alrededor del 17%.

La función SDSM también permite a los usuarios cambiar entre los modos Equilibrado y Estricto, dándoles un mayor control sobre lo que está encendido y lo que no.

«Aprende equilibradamente y confía en los sitios que usas con frecuencia, estricto está bien … estricto», tuiteó Norman, agregando que Borde los usuarios también pueden agregar sus propias excepciones.

JITstream

Norman señaló que hay beneficios más allá de reducir la superficie de ataque: debido a cómo funciona el JIT V8, varias tecnologías de mitigación de gran impacto no funcionan durante el proceso de renderizado.

Con JIT desactivado, estas tecnologías también se pueden usar, por ejemplo, Controlflow-Enforcement Technology (CET), una nueva mitigación de exploits basada en hardware de Intel, y Arbitrary Code Guard (ACG), que no se puede usar con motores JIT.

“Al deshabilitar JIT, podemos habilitar ambas medidas de mitigación y dificultar la explotación de errores de seguridad en cualquier componente del proceso de renderizado”, escribió Norman.

Puede encontrar más información sobre las otras funciones que vienen con la última versión de Edge en Notas de lanzamiento.

EN RELACIÓN El investigador de seguridad Artur Janc sobre el estado de XS-Leaks