{"id":71650,"date":"2020-02-27T08:51:33","date_gmt":"2020-02-27T05:51:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox"},"modified":"2020-03-03T16:10:40","modified_gmt":"2020-03-03T13:10:40","slug":"mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","title":{"rendered":"Mozilla commence \u00e0 d\u00e9ployer la technologie d'isolement des biblioth\u00e8ques RLBox","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les chercheurs de l'Universit\u00e9 de Stanford, de l'Universit\u00e9 de Californie \u00e0 San Diego et de l'Universit\u00e9 du Texas \u00e0 Austin ont d\u00e9velopp\u00e9<\/a><\/noindex> outils RLBox<\/a><\/noindex>, qui peut \u00eatre utilis\u00e9 comme un niveau suppl\u00e9mentaire d'isolation pour bloquer les vuln\u00e9rabilit\u00e9s dans les biblioth\u00e8ques de fonctions. RLBox vise \u00e0 r\u00e9soudre le probl\u00e8me de s\u00e9curit\u00e9 des biblioth\u00e8ques tierces non fiables, qui \u00e9chappent au contr\u00f4le des d\u00e9veloppeurs, mais dont les vuln\u00e9rabilit\u00e9s peuvent compromettre le projet principal. <\/p>\n

Entreprise Mozilla pr\u00e9voyait<\/a><\/noindex> impl\u00e9menter RLBox dans les versions Linux de Firefox 74 et dans les versions macOS de Firefox 75 pour isoler l'ex\u00e9cution de la biblioth\u00e8que Graphite<\/a><\/noindex>, responsable du rendu des polices. RLBox n'est pas sp\u00e9cifique \u00e0 Firefox et peut \u00eatre utilis\u00e9 pour isoler n'importe quelle biblioth\u00e8que dans des projets arbitraires. Les travaux<\/a><\/noindex> RLBox sont distribu\u00e9s<\/a><\/noindex> sont sous licence MIT. Actuellement, RLBox prend en charge les plateformes Linux et macOS, avec un support Windows attendu plus tard.<\/p>\n

Le m\u00e9canisme<\/a><\/noindex> de fonctionnement de RLBox consiste \u00e0 compiler le code C\/C++ de la biblioth\u00e8que isol\u00e9e en code interm\u00e9diaire bas niveau WebAssembly, qui est ensuite empaquet\u00e9 sous forme de module WebAssembly, dont les permissions sont restreintes uniquement \u00e0 ce module (par exemple, une biblioth\u00e8que de traitement de cha\u00eenes ne pourra pas ouvrir de socket r\u00e9seau ou de fichier). La transformation du code C\/C++ en WebAssembly est effectu\u00e9e \u00e0 l'aide de wasi-sdk<\/a><\/noindex>. <\/p>\n

Pour une ex\u00e9cution directe, le module WebAssembly est compil\u00e9 en code machine \u00e0 l'aide du compilateur Lucet<\/a><\/noindex> et s'ex\u00e9cute dans un «nanoprocesseur» distinct, isol\u00e9 de la m\u00e9moire restante de l'application. Le compilateur Lucet est bas\u00e9 sur le m\u00eame code que le moteur JIT Cranelift<\/a><\/noindex>, utilis\u00e9 dans Firefox pour l'ex\u00e9cution de WebAssembly. <\/p>\n

Le module compil\u00e9 fonctionne dans une zone de m\u00e9moire s\u00e9par\u00e9e et n'a pas acc\u00e8s au reste de l'espace d'adressage. En cas d'exploitation d'une vuln\u00e9rabilit\u00e9 dans la biblioth\u00e8que, un attaquant sera limit\u00e9 et ne pourra pas acc\u00e9der aux zones m\u00e9moire du processus principal ou transmettre le contr\u00f4le en dehors de l'environnement isol\u00e9. <\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Un haut niveau d'abstraction est fourni aux d\u00e9veloppeurs API<\/a><\/noindex>, qui permet d'appeler des fonctions de la biblioth\u00e8que en mode isol\u00e9. Les gestionnaires WebAssembly n\u00e9cessitent presque aucune ressource suppl\u00e9mentaire et leur interaction n'est pas beaucoup plus lente que l'appel de fonctions ordinaires (les fonctions de la biblioth\u00e8que s'ex\u00e9cutent sous forme de code natif, et les frais g\u00e9n\u00e9raux ne surviennent qu'au moment de la copie et de la v\u00e9rification des donn\u00e9es lors de l'interaction avec l'environnement isol\u00e9). Les fonctions de la biblioth\u00e8que isol\u00e9e ne peuvent pas \u00eatre appel\u00e9es directement et doivent \u00eatre invoqu\u00e9es par
\n la couche invoke_sandbox_function(). <\/p>\n

D'autre part, si la biblioth\u00e8que doit appeler des fonctions externes, ces fonctions doivent \u00eatre explicitement d\u00e9finies \u00e0 l'aide de la m\u00e9thode register_callback (par d\u00e9faut, RLBox donne acc\u00e8s aux fonctions de la biblioth\u00e8que standard<\/a><\/noindex>). Pour garantir un travail s\u00e9curis\u00e9 avec la m\u00e9moire (memory safety), l'isolation de l'ex\u00e9cution du code ne suffit pas, il est \u00e9galement n\u00e9cessaire d'assurer la v\u00e9rification des flux de donn\u00e9es retourn\u00e9s.<\/p>\n

Les valeurs form\u00e9es dans l'environnement isol\u00e9 sont marqu\u00e9es comme non dignes de confiance, limit\u00e9es par des \u00e9tiquettes tainted<\/a><\/noindex> et n\u00e9cessitent une «nettoyage» et une copie en m\u00e9moire de l'application.<\/a><\/noindex> Sans purification, toute tentative d'utilisation de donn\u00e9es tainted dans un contexte n\u00e9cessitant des donn\u00e9es ordinaires (et vice versa) entra\u00eene des erreurs \u00e0 l'\u00e9tape de la compilation. Les petits arguments de fonction, les valeurs retourn\u00e9es et les structures sont transf\u00e9r\u00e9s par copie entre la m\u00e9moire du processus et celle de l'environnement isol\u00e9. Pour de grands ensembles de donn\u00e9es, la m\u00e9moire est allou\u00e9e dans l'environnement isol\u00e9, et un pointeur direct \"sandbox-reference\" est renvoy\u00e9 au processus principal.
\nSans nettoyage, essayer d'utiliser des donn\u00e9es contamin\u00e9es dans un contexte n\u00e9cessitant des donn\u00e9es ordinaires (et vice versa) entra\u00eene des erreurs au moment de la compilation. Les petits arguments de fonction, les valeurs de retour et les structures sont pass\u00e9s par copie entre la m\u00e9moire du processus et la m\u00e9moire de l'environnement isol\u00e9. Pour de grands ensembles de donn\u00e9es, la m\u00e9moire est allou\u00e9e dans l'environnement isol\u00e9, et un pointeur direct «r\u00e9f\u00e9rence-sandbox» est renvoy\u00e9 au processus principal. <\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u0421\u0442\u0435\u043d\u0434\u0444\u043e\u0440\u0434\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430, \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0421\u0430\u043d-\u0414\u0438\u0435\u0433\u043e \u0438 \u0422\u0435\u0445\u0430\u0441\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u041e\u0441\u0442\u0438\u043d\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 RLBox, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c\u0441\u044f \u043a\u0430\u043a \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439. RLBox \u043d\u0430\u0446\u0435\u043b\u0435\u043d \u043d\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u043d\u0435\u0437\u0430\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u0434\u043e\u0432\u0435\u0440\u0438\u044f \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435 \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c, \u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u043e\u0433\u0443\u0442 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043f\u0440\u043e\u0435\u043a\u0442. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043f\u043b\u0430\u043d\u0438\u0440\u0443\u0435\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":71651,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-71650","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla commence l'impl\u00e9mentation de la technologie d'isolation des biblioth\u00e8ques RLBox | ProHoster","description":"Les chercheurs de l'Universit\u00e9 de Stanford, de l'Universit\u00e9 de Californie \u00e0 San Diego et de l'Universit\u00e9 du Texas \u00e0 Austin","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a RLBox | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u0421\u0442\u0435\u043d\u0434\u0444\u043e\u0440\u0434\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430, \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0421\u0430\u043d-\u0414\u0438\u0435\u0433\u043e \u0438 \u0422\u0435\u0445\u0430\u0441\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u041e\u0441\u0442\u0438\u043d\u0435","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/mozilla-nachinaet-vnedrenie-tehnologii-izolyaczii-bibliotek-rlbox","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-27T05:51:33+00:00","article:modified_time":"2020-03-03T13:10:40+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"71650","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:32:42","updated":"2022-09-29 09:11:36","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/71650","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=71650"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/71650\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/71651"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=71650"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=71650"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=71650"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}