{"id":71650,"date":"2020-02-27T08:51:33","date_gmt":"2020-02-27T05:51:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox"},"modified":"2020-03-03T16:10:40","modified_gmt":"2020-03-03T13:10:40","slug":"mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","title":{"rendered":"Mozilla beginnt mit der Einf\u00fchrung der RLBox-Bibliotheksisolierungstechnologie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher der Stanford-Universit\u00e4t, der University of California San Diego und der University of Texas in Austin entwickelt<\/a><\/noindex> ein Toolset RLBox<\/a><\/noindex>, das als zus\u00e4tzlicher Isolationsgrad verwendet werden kann, um Schwachstellen in Funktionsbibliotheken zu blockieren. RLBox zielt darauf ab, Sicherheitsprobleme mit nicht vertrauensw\u00fcrdigen Drittanbieter-Bibliotheken zu l\u00f6sen, die nicht von Entwicklern kontrolliert werden, deren Schwachstellen aber das Hauptprojekt gef\u00e4hrden k\u00f6nnen. <\/p>\n

Die Mozilla Corporation plant<\/a><\/noindex> RLBox in den Linux-Bauversionen von Firefox 74 und den macOS-Bauversionen von Firefox 75 zur Isolierung der Ausf\u00fchrung der Bibliothek einzusetzen, Graphite<\/a><\/noindex>, die f\u00fcr das Rendering von Schriftarten verantwortlich ist. Dabei ist RLBox nicht spezifisch f\u00fcr Firefox und kann zur Isolierung beliebiger Bibliotheken in beliebigen Projekten eingesetzt werden. Entwicklungen<\/a><\/noindex> RLBox werden<\/a><\/noindex> unter der MIT-Lizenz. Derzeit unterst\u00fctzt RLBox die Nutzung auf Linux- und macOS-Plattformen, w\u00e4hrend die Unterst\u00fctzung f\u00fcr Windows sp\u00e4ter erwartet wird.<\/p>\n

Mechanismus<\/a><\/noindex> Die Funktionsweise von RLBox besteht darin, C\/C++-Code aus einer isolierten Bibliothek in einen niedrigstufigen Zwischen-Code (WebAssembly) zu kompilieren, der dann als WebAssembly-Modul bereitgestellt wird. Die Berechtigungen dieses Moduls sind ausschlie\u00dflich auf dieses Modul beschr\u00e4nkt (zum Beispiel kann eine Bibliothek zur Verarbeitung von Zeichenfolgen keinen Netzwerk-Socket oder eine Datei \u00f6ffnen). Die Umwandlung von C\/C++-Code in WebAssembly erfolgt mithilfe von wasi-sdk<\/a><\/noindex>. <\/p>\n

Um WebAssembly direkt auszuf\u00fchren, wird das Modul mit einem Compiler in Maschinencode kompiliert Lucet<\/a><\/noindex> und wird in einem separaten , der vom restlichen Speicher der Anwendung isoliert ist, ausgef\u00fchrt. Der Lucet-Compiler basiert auf demselben Code wie die JIT-Engine Cranelift<\/a><\/noindex>, die in Firefox zur Ausf\u00fchrung von WebAssembly verwendet wird. <\/p>\n

Das kompiliertes Modul arbeitet in einem separaten Speicherbereich und hat keinen Zugriff auf den restlichen Adressraum. Im Falle einer Ausnutzung einer Schwachstelle in der Bibliothek ist der Angreifer eingeschr\u00e4nkt und kann nicht auf den Speicherbereich des Hauptprozesses zugreifen oder die Kontrolle au\u00dferhalb der isolierten Umgebung \u00fcbertragen. <\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

F\u00fcr Entwickler steht eine hochgradig abstrahierte API<\/a><\/noindex>, der es erm\u00f6glicht, Bibliotheksfunktionen in einem isolierten Modus aufzurufen. WebAssembly-Handler ben\u00f6tigen fast keine zus\u00e4tzlichen Ressourcen, und die Interaktion mit ihnen ist nicht viel langsamer als der Aufruf gew\u00f6hnlicher Funktionen (Bibliotheksfunktionen werden in Form von nativem Code ausgef\u00fchrt, und es entstehen nur geringe Overheadkosten beim Kopieren und \u00dcberpr\u00fcfen von Daten w\u00e4hrend der Interaktion mit der isolierten Umgebung). Isolierte Bibliotheksfunktionen k\u00f6nnen nicht direkt aufgerufen werden, und um auf sie zuzugreifen, muss
\n der invoke_sandbox_function() Wrapper verwendet werden. <\/p>\n

Wenn aus der Bibliothek externe Funktionen aufgerufen werden sollen, m\u00fcssen diese Funktionen explizit mit der Methode register_callback definiert werden (standardm\u00e4\u00dfig gew\u00e4hrt RLBox Zugriff auf Funktionen der Standardbibliothek<\/a><\/noindex>). Um die sichere Arbeit mit dem Speicher (memory safety) zu gew\u00e4hrleisten, reicht die Isolierung der Codeausf\u00fchrung nicht aus; es muss auch eine \u00dcberpr\u00fcfung der zur\u00fcckgegebenen Datenstr\u00f6me sichergestellt werden.<\/p>\n

Die in der isolierten Umgebung erzeugten Werte werden als vertrauensw\u00fcrdig markiert, durch tainted-Labels<\/a><\/noindex> und zur ben\u00f6tigen eine Verifizierung.<\/a><\/noindex> und Kopieren in den Anwendungs-Speicher.
\nOhne Bereinigung f\u00fchrt der Versuch, kontaminierte Daten in einem Kontext zu verwenden, der regul\u00e4re Daten erfordert (und umgekehrt), zu Kompilierungsfehlern. Kleine Funktionsargumente, R\u00fcckgabewerte und Strukturen werden durch Kopieren zwischen dem Speicher des Prozesses und dem Speicher der isolierten Umgebung \u00fcbergeben. Bei gro\u00dfen Datens\u00e4tzen wird der Speicher in der isolierten Umgebung zugewiesen, und der Hauptprozess erh\u00e4lt einen direkten Zeiger . <\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u0421\u0442\u0435\u043d\u0434\u0444\u043e\u0440\u0434\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430, \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0421\u0430\u043d-\u0414\u0438\u0435\u0433\u043e \u0438 \u0422\u0435\u0445\u0430\u0441\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u041e\u0441\u0442\u0438\u043d\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 RLBox, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c\u0441\u044f \u043a\u0430\u043a \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439. RLBox \u043d\u0430\u0446\u0435\u043b\u0435\u043d \u043d\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u043d\u0435\u0437\u0430\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u0434\u043e\u0432\u0435\u0440\u0438\u044f \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435 \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c, \u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u043e\u0433\u0443\u0442 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043f\u0440\u043e\u0435\u043a\u0442. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043f\u043b\u0430\u043d\u0438\u0440\u0443\u0435\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":71651,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-71650","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla beginnt mit der Einf\u00fchrung der RLBox-Bibliotheksisolierungstechnologie | ProHoster","description":"Forscher der Stanford-Universit\u00e4t, der University of California San Diego und der University of Texas in Austin","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a RLBox | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u0421\u0442\u0435\u043d\u0434\u0444\u043e\u0440\u0434\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430, \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0421\u0430\u043d-\u0414\u0438\u0435\u0433\u043e \u0438 \u0422\u0435\u0445\u0430\u0441\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u041e\u0441\u0442\u0438\u043d\u0435","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-27T05:51:33+00:00","article:modified_time":"2020-03-03T13:10:40+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"71650","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:32:42","updated":"2022-09-29 09:11:36","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/71650","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=71650"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/71650\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/71651"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=71650"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=71650"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=71650"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}