מוזילה מתחילה ביישום של טכנולוגיית בידוד ספריית RLBox

חוקרים מאוניברסיטת סטנפורד, מאוניברסיטת קליפורניה בסן דייגו ומאוניברסיטת טקסס באוסטין מפותח כלים RLBox, אשר יכול לשמש כשכבת בידוד נוספת לחסימת נקודות תורפה בספריות פונקציות. RLBox נועד לפתור את בעיית האבטחה של ספריות צד שלישי לא מהימנות שאינן בשליטת מפתחים, אך נקודות התורפה שלהן עלולות לסכן את הפרויקט הראשי.

חברת מוזילה מתכננת השתמש ב-RLBox ב-Linux build של Firefox 74 וב-macOS build של Firefox 75 כדי לבודד את ביצוע הספרייה גרָפִיט, אחראי על עיבוד גופנים. עם זאת, RLBox אינו ספציפי לפיירפוקס וניתן להשתמש בו כדי לבודד כל ספרייה בפרויקטים שרירותיים. התפתחויות RLBox התפשטות תחת רישיון MIT. RLBox תומך כרגע בפלטפורמות לינוקס ו-macOS, כאשר תמיכת Windows צפויה מאוחר יותר.

מנגנון העבודה של RLBox מסתכמת בהידור של קוד C/C++ של ספרייה מבודדת לקוד WebAssembly ברמה נמוכה, שתוכנן לאחר מכן כמודול WebAssembly, שההרשאות שלו מוגדרות רק ביחס למודול זה (לדוגמה, ספריה לעיבוד מחרוזות לא יוכלו לפתוח שקע רשת או קובץ) . המרת קוד C/C++ ל-WebAssembly מתבצעת באמצעות wasi-sdk.

לביצוע ישיר, מודול WebAssembly מורכב לקוד מכונה באמצעות מהדר Lucet ופועל ב"ננו-תהליך" נפרד מבודד משאר זיכרון האפליקציה. מהדר Lucet מבוסס על אותו קוד כמו מנוע JIT מנוף מנוף, משמש ב-Firefox לביצוע WebAssembly.

המודול המורכב פועל באזור זיכרון נפרד ואין לו גישה לשאר מרחב הכתובות. אם מנוצלת פגיעות בספרייה, התוקף יהיה מוגבל ולא יוכל לגשת לאזורי זיכרון של התהליך הראשי או להעביר שליטה מחוץ לסביבה המבודדת.

רמה ברמה גבוהה מסופקת למפתחים API, המאפשר לך להתקשר לפונקציות ספרייה במצב בידוד. מטפלי WebAssembly כמעט שאינם דורשים משאבים נוספים והאינטראקציה איתם אינה איטית בהרבה מקריאת פונקציות רגילות (פונקציות הספרייה מבוצעות בצורה של קוד מקורי, ועלויות תקורה מתעוררות רק בעת העתקה ובדיקת נתונים במהלך אינטראקציה עם הסביבה המבודדת). לא ניתן לקרוא ישירות לפונקציות ספרייה מבודדות ויש לגשת אליהן באמצעות
layer invoke_sandbox_function().

בתורו, אם יש צורך לקרוא לפונקציות חיצוניות מהספרייה, יש להגדיר את הפונקציות הללו במפורש באמצעות שיטת register_callback (כברירת מחדל, RLBox מספק גישה לפונקציות ספרייה רגילה). כדי להבטיח בטיחות זיכרון, בידוד ביצוע קוד אינו מספיק ודורש גם בדיקה של זרמי הנתונים המוחזרים.

ערכים שנוצרו בסביבה מבודדת מסומנים כלא אמינים ומוגבלים לשימוש סימנים נגועים ול"ניקוי" הם דורשים אימות והעתקה לזיכרון האפליקציה.
ללא ניקוי, ניסיון להשתמש בנתונים נגועים בהקשר הדורש נתונים רגילים (ולהיפך) מביא ליצירת שגיאות בזמן ההידור. ארגומנטים של פונקציות קטנות, ערכי החזרה ומבנים מועברים באמצעות העתקה בין זיכרון התהליך לזיכרון ארגז חול. עבור מערכי נתונים גדולים, זיכרון מוקצה בסביבה מבודדת ומצביע ישיר של ארגז חול מוחזר לתהליך הראשי.

מקור: OpenNet.ru