Mozilla започва внедряване на технология за изолация на библиотеки RLBox

Изследователи от Университета Стенфорд, Калифорнийския университет в Сан Диего и Тексаския университет в Остин разработиха инструменти RLBox, който може да се използва като допълнителен слой изолация за блокиране на уязвимости в библиотеки от функции. RLBox е насочен към решаване на проблема със сигурността на ненадеждни библиотеки на трети страни, които не се контролират от разработчиците, но уязвимостите в които могат да компрометират основния проект.

Компания Mozilla планира да се активира RLBox в Linux версии на Firefox 74 и macOS версии на Firefox 75 за изолация на изпълнението на библиотеката Graphite, отговаряща за визуализацията на шрифтове. При това RLBox не е специфичен за Firefox и може да се използва за изолация на всякакви библиотеки в произволни проекти. Разработки RLBox се разпространява под лицензия MIT. В момента RLBox поддържа работа на платформи Linux и macOS, а поддръжката за Windows се очаква по-късно.

Механизмът на работа на RLBox се състои в компилирането на C/C++ код от изолираната библиотека в нискоуровневен междинен код WebAssembly, който след това се оформя в модула на WebAssembly, чиито права са зададени единствено за този модул (например, библиотека за обработка на низове не може да отвори мрежов сокет или файл). Преобразуването на C/C++ код в WebAssembly се осъществява с помощта на wasi-sdk.

За непосредствено изпълнение WebAssembly модулът се компилира в машинен код с помощта на компилатора Lucet и се изпълнява в отделен «нанопроцес», изолиран от останалата памет на приложението. Компилаторът Lucet е базиран на същия код като JIT двигателя Cranelift, който се използва в Firefox за изпълнение на WebAssembly.

Събраният модул работи в отделна област на паметта и няма достъп до останалото адресно пространство. В случай на експлоатация на уязвимост в библиотеката, атакуващият ще бъде ограничен и няма да може да се обърне към областите на паметта на основния процес или да предаде контрола извън изолираната среда.

За разработчици е осигурен високопрофилен API, който позволява извикването на функции от библиотеката в режим на изолация. WebAssembly обработчиците почти не изискват допълнителни ресурси и взаимодействието с тях не е много по-бавно от извикването на обикновени функции (функциите от библиотеката се изпълняват като нативен код, а разходите идват единствено от копирането и проверката на данните по време на взаимодействие с изолираната среда). Функциите от изолираната библиотека не могат да бъдат извиквани директно и е необходимо да се използва
прослойка invoke_sandbox_function().

От своя страна, ако от библиотеката трябва да се извикат външни функции, тези функции трябва да бъдат явно определени чрез метода register_callback (по подразбиране RLBox предоставя достъп до функциите на стандартната библиотека). За осигуряване на безопасна работа с паметта (memory safety) изолацията на изпълнението на кода не е достатъчна и е необходимо да се осигури и проверка на връщащите се потоци от данни.

Сформираните в изолираната среда стойности се определят като недоверчиви, ограничават се чрез tainted-метки и за «очистка» изискват верификация и копиране в паметта на приложението.
Без очистка, опитът за използване на tainted-данни в контекст, изискващ обикновени данни (и обратно), води до генериране на грешки на етапа на компилация. Малките аргументи на функциите, върнатите стойности и структурите се предават чрез копиране между паметта на процеса и паметта на изолираната среда. За големи набори от данни паметта се выделя в изолираната среда, а на основния процес се връща директен указател «sandbox-reference».

Източник: opennet.ru