Mozilla alustab RLBoxi raamatukogude isolatsiooni tehnoloogia rakendamist

Stanford Ülikooli, San Diegos asuva California Ülikooli ja Austini Texas Ülikooli teadlased on arendanud tööriistakomplekt RLBox, mis võib toimida täiendava isoleerimise tasandina, et blokeerida haavatavusi funktsioonide raamatukogudes. RLBox keskendub mittevõrgu kõrvaliste teekide turvaprobleemi lahendamisele, mis ei ole arendajate kontrolli all, kuid mille haavatavused võivad ohustada põhiprojekti.

Ettevõte Mozilla plaanib rakendada RLBox Linuxi versioonides Firefox 74 ja macOS versioonides Firefox 75, et isoleerida teegi täitmine Graphite, mis vastutab fondide joonistamise eest. RLBox ei ole Firefoxile spetsiifiline ja seda saab kasutada igasuguste teekide isoleerimiseks erinevates projektides. Arendused RLBox levitatakse MIT litsentsi alusel. Praegu toetab RLBox Linuxi ja macOS platvorme, Windowsi tugi on ootel.

Mehhanism RLBox'i töö seisneb C/C++ koodi isolatsiooni teegi kompileerimises madalama taseme vahefailikoodiks WebAssembly, mis seejärel vormistatakse WebAssembly moodulina, mille õigused on määratud ainult sellele moodulile (näiteks stringide töötlemise teek ei saa avada võrgusokke ega faile). C/C++ koodi muundamine WebAssembly'ks toimub wasi-sdk.

Kohese täitmise jaoks kompileeritakse WebAssembly moodul masina koodiks kompilatori Lucet ja see täidetakse eraldi "nanoprotsessis", mis on eraldatud rakenduse ülejäänud mälust. Lucet'i kompilaator põhineb samal koodil, mis JIT-mootoril Cranelift, mida kasutatakse Firefoxis WebAssembly täitmiseks.

Kogutud moodul töötab eraldi mälu piirkonnas ja ei pääse juurde ülejäänud aadressiruumile. Raamatukogu haavatavuse ärakasutamisel on ründajal piiratud juurdepääs ning ta ei saa pöörduda põhiprotsessi mälu alade ega edastada juhtimist väljapoole isoleeritud keskkonda.

Arendajatele on pakutud kõrgetasemeline API, mis võimaldab kutsuda raamatukogu funktsioone isoleeritud režiimis. WebAssembly' töötlejad vajavad peaaegu üldse täiendavaid ressursse ja suhtlemine nendega ei ole oluliselt aeglasem kui tavaliste funktsioonide kutsumine (raamatukogu funktsioonid täidetakse natiivse koodina ning lisakulud tekivad ainult andmete kopeerimise ja kontrollimise käigus isoleeritud keskkonnaga suhtlemisel). Isoleeritud raamatukogu funktsioone ei saa otseselt kutsuda ning nendele juurdepääsuks on vajalik rakendada
vahekihti invoke_sandbox_function().

Omakorda, kui raamatukogust on vaja väliseid funktsioone kutsuda, peavad need funktsioonid olema selgelt määratletud meetodi register_callback abil (eelnevalt RLBox võimaldab juurdepääsu funktsioonidele standardsest raamatukogust). Mälu ohutu toimimise tagamiseks (memory safety) ei piisa koodi täitmise isoleerimisest ja on vajalik ka tagada tagastatud andmevoogude kontrollimine.

Isoleeritud keskkonnas genereeritud väärtused märgistatakse kui usaldamatud, neid piiratakse tainted-siltidega ja 'puhastamiseks' on vajalik kontrollimine ja kopeerimine rakenduse mällu.
Ilma puhastamiseta, katse kasutada tainted-andmeid kontekstis, kus on nõutud tavalised andmed (ja vastupidi) põhjustab kompileerimise etapis vigu. Väiksed funktsioonide argumendid, tagastatavad väärtused ja struktuurid edastatakse läbi kopeerimise protsessi mälu ja isoleeritud keskkonna mälu vahel. Suurte andmekogumite puhul eraldatakse mälu isoleeritud keskkonnas ning põhiprotsessile tagastatakse otseviit 'sandbox-reference'.

Allikas: opennet.ru