Mozilla започва внедряването на технологията за изолация на библиотеки RLBox

Изследователи от Станфордския университет, Калифорнийския университет в Сан Диего и Тексаския университет в Остин разработиха инструментариум RLBox, която може да се използва като допълнителен слой изолация за блокиране на уязвимости в библиотеки с функции. RLBox цели да реши проблема със сигурността на ненадеждни външни библиотеки, които не са под контрола на разработчиците, но уязвимостите в които могат да компрометират основния проект.

Компания Mozilla планира да активира RLBox в Linux версиите на Firefox 74 и macOS версиите на Firefox 75 за изолиране на изпълнението на библиотеката Graphite, отговаряща за рендирането на шрифтове. В същото време RLBox не е специфичен за Firefox и може да се прилага за изолация на всякакви библиотеки в произволни проекти. Разработки RLBox се разпространява под лиценз MIT. В момента RLBox поддържа работа на платформите Linux и macOS, поддръжката на Windows се очаква по-късно.

Механизмът на работа на RLBox се състои в компилирането на C/C++ код от изолираната библиотека в нискоуровневен междинен код WebAssembly, който след това се оформя като модул WebAssembly, чиито права са определени само за този модул (например, библиотека за обработка на низове няма да може да отвори мрежов сокет или файл). Преобразуването на C/C++ код в WebAssembly се извършва с помощта на wasi-sdk.

За директно изпълнение модулът WebAssembly се компилира в машинен код с помощта на компилатора Lucet и се изпълнява в отделен „нанопроцес“, изолиран от останалата част на паметта на приложението. Компилаторът Lucet е основан на един и същи код, който JIT двигателят Cranelift, използван в Firefox за изпълнение на WebAssembly.

Събраният модул работи в отделна зона на паметта и няма достъп до останалото адресно пространство. В случай на експлоатация на уязвимост в библиотеката, атакуващият ще бъде ограничен и няма да може да получи достъп до областите на паметта на основния процес или да предаде контрола извън изолираната среда.

За разработчиците е предоставен високонадежден API, който позволява извикването на функции от библиотеката в изолирана среда. WebAssembly обработчиците почти не изискват допълнителни ресурси и взаимодействието с тях не е много по-бавно от извикването на обикновени функции (функциите на библиотеката се изпълняват под формата на нативен код, а разходите възникват само при копиране и проверка на данни по време на взаимодействието с изолираната среда). Функциите на изолираната библиотека не могат да бъдат извиквани директно и за достъп до тях е необходимо да се използва
прослойката invoke_sandbox_function().

От своя страна, ако библиотеката трябва да извика външни функции, тези функции трябва да бъдат явно определени с помощта на метода register_callback (по подразбиране RLBox предоставя достъп до функциите на стандартната библиотека). За осигуряване на безопасна работа с паметта (memory safety) изолираното изпълнение на код не е достатъчно и е необходимо също така да се осигури проверка на връщаните потоци от данни.

Сформираните в изолираната среда стойности се обозначават като ненадеждни, ограничават се с помощта на tainted-етикети и за "почистването" им изискват верификация и копиране в паметта на приложението.
Без почистване, опитът за използване на tainted-данни в контекста, изискващ обикновени данни (и обратно) води до генериране на грешки на етапа на компилация. Малките аргументи на функциите, връщаните стойности и структури се предават чрез копиране между паметта на процеса и паметта на изолираната среда. За по-големи набори от данни паметта се разпределя в изолираната среда, а на основния процес се връща директен указател „sandbox-reference“.

Източник: opennet.ru