Win10新浏览器Edge:性能升,危险增

业界 作者:站内编辑 2015-08-04 06:18:06 阅读:701
Edge1 FreeBuf之前报道过《Windows 10新变化:系统自动更新将“强制化”,用户不再可选》,现在我们聚焦Windows10的新浏览器Edge,相比IE在显著提升了安全性能的同时,也随之带来了旧版中并不存在的新型潜在威胁。 集成插件 微软Edge浏览器中有两个被广泛使用的插件:Adobe Flash以及一个PDF阅读器。多年以来,Flash已经证明了自己是一个重大的安全隐患。尽管我们认为用户和网站都应远离Flash,而情况却是在可预见的未来Flash不会消失。但是针对Flash的攻击仍将继续,微软将Flash作为一项内置功能,只能说是勇气可嘉。 同样,集成PDF阅读器出现在模块windows.data.pdf.dll中,这也潜在为攻击者提供了一个进入Edge浏览器的路径。 尽管这些都存在潜在的风险向量,而恰当地使用仍可保障相对的安全性。同样是运用集成插件的Google Chrome和Firefox并没有什么重大问题出现,而合理利用则可以降低风险。 此外,融合Flash也就意味着可以更随windows更新,Flash也获得更新,这样便可以降低用户运行低版本Flash时所产生的巨大风险。(注意,这并非首次出现:在Windows 8中IE浏览器已经如此了。) 支持asm.js Edge与Chrome都支持asm.js。这一原本来自于Mozilla的asm.js,提供了一种让由C、C++或其它语言编写的原生代码在浏览器端运行的途径。sm.js中包含了JavaScript的一个严格子集 —— 包括严格类型的整数、浮点数、数值计算、函数调用和堆访问,这对速度起到优化作用。实际上,就是将其他代码转化成JS代码。LLVM编译器负责这一任务。 Edge2 然而,在其他支持asm.js的浏览器中都出现了安全问题。2015年度Pwn2Own比赛中,一个Mozilla Firefox中asm.js实现中的漏洞(CVE-2015-0817)被用于成功破解了浏览器。因此,我们无法排除这样的危险性,未来微软Edge浏览器也可能从这里被搞定。 新拓展模型 Edge将会在推出Windows10之后的某个时间发布升级的扩展支持。而Chrome和Firefox的扩展可以在相对稍加修改的基础上用于微软Edge当中,但是具体的细节尚不明确。 而这些扩展将在AppContainer沙盒中运行,但是沙盒逃逸漏洞可以被用于逃逸。此外,不能排除会有恶意扩展出现——要么一开始就是恶意扩展,要么就是一个合规的扩展被修改后进而成为一个恶意项目。 然而,Edge目前尚没有支持任何扩展。 浏览器安全性PK 下面的表格中显示了不同浏览器多特性、保护能力以及受攻击面的比较。 Edge3 尽管IE 11支持EPM沙盒,但在默认情况下只是用PM沙盒。IE 11在默认的渲染流程为32-bit。 Edge4 图为受攻击平面 Edge5 主流浏览器exp缓解性能 总结 Edge相较IE 11而言确实有一个明显的改善,特别是在升级的沙箱和利用减排技能让破解Edge变得更加困难。此外,删除过去不被使用的那些功能也减少了针对浏览器发出的攻击向量。 总的来说,我们认为Edge已经到达了能与Chrome比肩的地步,二者都同样明显地优于Firefox。然而,不容乐观的是Edge仍存在许多攻击者可以突破的地方。考虑到现在浏览器复杂的需求,这或许也是现实无法避免的。

关注公众号:拾黑(shiheibook)了解更多

[广告]赞助链接:

四季很好,只要有你,文娱排行榜:http://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

图库
关注网络尖刀微信公众号
随时掌握互联网精彩
赞助链接