{"id":82793,"date":"2020-05-25T07:41:55","date_gmt":"2020-05-25T05:41:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/70-problem-s-bezopasnostyu-v-chromium-vyzvany-oshibkami-pri-rabote-s-pamyatyu"},"modified":"2020-05-25T07:41:55","modified_gmt":"2020-05-25T05:41:55","slug":"70-problem-s-bezopasnostyu-v-chromium-vyzvany-oshibkami-pri-rabote-s-pamyatyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/70-problem-s-bezopasnostyu-v-chromium-vyzvany-oshibkami-pri-rabote-s-pamyatyu","title":{"rendered":"70 % der Sicherheitsprobleme in Chromium resultieren aus Fehlern im Umgang mit dem Speicher","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Entwickler des Projekts Chromium analysierte<\/a><\/noindex> 912 gef\u00e4hrliche und kritische Schwachstellen, die in den stabilen Versionen von Chrome seit 2015 erkannt wurden, und kamen zu dem Schluss, dass 70 % davon auf unsicheres Arbeiten mit dem Speicher (Fehler bei der Arbeit mit Zeigern in C\/C++-Code) zur\u00fcckzuf\u00fchren sind. Die H\u00e4lfte dieser Probleme (36,1 %) wird durch Zugriffe auf den Puffer nach der Freigabe des damit verbundenen Speichers (Use-after-free) verursacht.
\n

\"70<\/a><\/noindex><\/center><\/p>\n

Bei der Konzeption von Chromium wurde urspr\u00fcnglich festgelegt<\/a><\/noindex>, dass im Code das Auftreten von Fehlern nicht ausgeschlossen werden kann, weshalb ein gro\u00dfer Schwerpunkt auf die Anwendung von Sandbox-Isolation gelegt wurde, um die Auswirkungen von Schwachstellen zu begrenzen. Derzeit haben die M\u00f6glichkeiten dieser Technologie ihre Grenzen erreicht, und eine weitere Aufspaltung in Prozesse ist aus Sicht des Ressourcenverbrauchs nicht sinnvoll. <\/p>\n

Um die Sicherheit des Codes zu gew\u00e4hrleisten, wendet Google auch \u201eZwei-Regelzeichen<\/a><\/noindex>\u201e an, wonach jeder hinzugef\u00fcgte Code nicht mehr als zwei der drei Bedingungen erf\u00fcllen darf: Umgang mit untrusted Eingaben, Verwendung unsicherer Programmiersprachen (C\/C++) und Ausf\u00fchrung mit erh\u00f6hten Rechten. Daraus folgt, dass Code zur Verarbeitung externer Daten entweder auf minimale Berechtigungen (isoliert) beschr\u00e4nkt oder in einer sicheren Programmiersprache geschrieben sein muss.<\/p>\n

Um die Sicherheit des Codes weiter zu erh\u00f6hen, wurde ein Projekt zur Verhinderung von Speicherfehlern im Code ins Leben gerufen. Es werden drei Hauptans\u00e4tze verfolgt: die Erstellung von C++-Bibliotheken mit Funktionen f\u00fcr einen sicheren Umgang mit dem Speicher und die Erweiterung des Anwendungsbereichs des Garbage Collectors, die Anwendung von Hardware-Schutzmechanismen MTE<\/a><\/noindex> (Memory Tagging Extension) und die Erstellung von Komponenten in Sprachen, die einen sicheren Umgang mit dem Speicher gew\u00e4hrleisten (Java, Kotlin, JavaScript, Rust, Swift).<\/p>\n

Es wird erwartet, dass die Arbeit auf zwei Hauptbereiche konzentriert wird: <\/p>\n