Firefox de Mozilla a introduit des mécanismes de sécurité améliorés pour réduire la surface d’attaque du navigateur.

Le 12 mai, le responsable de l’ingénierie de la sécurité de Mozilla, Gian-Carlo Pascutto confirmé que les changements ont été inclus dans Firefox 100sorti sur la chaîne stable le 3 mai.

Isolement du processus

Lorsque les utilisateurs naviguent sur le Web via Firefox, le logiciel restitue le contenu dans des processus distincts, isolés du système d’exploitation (OS) et gérés par un seul processus parent privilégié.

Le raisonnement derrière ce modèle est que si un bogue existe dans un processus de contenu, les vecteurs d’attaque potentiels sont limités.

VOUS POURRIEZ AUSSI AIMER ‘Navigateur dans un navigateur’ – La technique de phishing simule des pop-ups pour exploiter les utilisateurs

L’équipe de Mozilla souhaitait affiner davantage le modèle – une perspective difficile puisque « les processus de contenu ont besoin d’accéder à certaines API du système d’exploitation pour fonctionner correctement : par exemple, ils doivent toujours pouvoir parler au processus parent », selon Pascutto.

L’équipe a déjà présenté Fissionun bac à sable pour les pages Web et les cadres, ainsi que RLBoxun isolateur de sous-composant.

Désormais, Firefox a lancé Win32k Lockdown, qui, avec Fission et RLBox, « améliorera considérablement la sécurité de Firefox ».

Verrouillage Win32k

Win32k Lockdown est spécifique aux machines Windows. Mozilla indique que le processus parent nécessite par défaut l’accès à l’API Windows complète, y compris les threads, les processus du système d’exploitation et la mémoire.

Concrètement, Mozilla voulait restreindre l’accès à win32k.sys, une API historiquement exploitable, via Microsoft PROCESS_MITIGATION_SYSTEM_CALL_DISABLE_POLICYune application pour désactiver l’accès aux appels système win32k.sys.

Cependant, cela signifiait que les processus de contenu Web ne pouvaient pas effectuer une gamme de tâches graphiques, de gestion ou de traitement des entrées autrement gérées par l’API.

Par conséquent, Mozilla Firefox a entrepris une sérieuse refonte. Cela comprenait un passage à WebRender pour peindre le contenu des pages Web, faire fonctionner à distance Canvas 2D et WebGL 3D, et peaufiner les contrôles et les affichages de formulaire afin qu’ils n’aient pas besoin d’appeler les API du widget OS depuis le processus de contenu.

De plus, Firefox a également remanié la fonctionnalité de saut de ligne. Cependant, des défis subsistent en ce qui concerne le chargement et les interactions de DLL tierces, et un le correctif est prévu pour une future version de Firefox.

Le verrouillage Win32k ne s’applique actuellement qu’à la mise à jour de Windows 10 Fall Creators et versions ultérieures.

Expansion progressive

Bien que cette mise à jour de sécurité se soit principalement concentrée sur les machines Windows, les utilisateurs de macOS et Linux n’ont pas été oubliés.

Un changement discret a été introduit pour les utilisateurs de Mac dans Firefox 95 qui bloquait l’accès à WindowServer, améliorant le démarrage du processus de 30 à 70 % et renforçant la sécurité. Sous Linux, le lien entre les processus de contenu et le serveur X11 était rompu dans Firefox 99.

« La mise à niveau d’un changement significatif dans la séparation des responsabilités dans une grande application comme Firefox présente un grand défi d’ingénierie pluriannuel, mais il est absolument nécessaire pour faire progresser la sécurité du navigateur et continuer à assurer la sécurité de nos utilisateurs », a commenté Pascutto.

« Nous sommes ravis d’avoir réussi et de vous présenter le résultat dans Firefox 100. »

Outre les améliorations de sécurité, Firefox 100 comprenait également une nouvelle prise en charge des sous-titres vidéo, le remplissage automatique des cartes de crédit pour les utilisateurs britanniques, des correctifs de schéma de couleurs et correctifs pour les bogues tels que CVE-2022-29909un contournement de l’invite d’autorisation dans les contextes de navigation imbriqués et CVE-2022-29911un contournement du bac à sable iframe.

Chome et Firefox ont maintenant atteint les trois chiffres dans les versions de navigateur. Lorsque les sites Web s’appuient sur l’identification de la version du navigateur pour exécuter des fonctions de logique métier, le passage du double au triple pourrait interrompre la fonctionnalité du site Web.

Les deux organisations ont fourni des outils de test de compatibilité pour permettre aux webmasters d’identifier les problèmes avant la transition.

« Firefox 100 a généralement dépassé nos attentes », a déclaré Mike Conca, directeur principal de l’équipe produit de la plate-forme Web Firefox. La gorgée quotidienne.

« Nous n’avons constaté aucun problème majeur de compatibilité Web avec le numéro de version à trois chiffres, et la publication d’étape nous a donné l’occasion de remercier nos utilisateurs via des écrans d’intégration spéciaux. Dans l’ensemble, la réponse a été formidable.

EN RELATION Le plan d’authentification Web « dangereux » de l’UE menace de saper le système de certification par navigateur, selon ses détracteurs