科技 technology
您现在的位置:首页 > 科技 > 研究人员开发了可改善Firefox安全性的框架

新闻

全国学会服务地方产业发展试点项目落地山西:迎来“晋”式医药发展变革 全国学会服务地方产业发展试点项目落地山西:迎来“...

6月17日,全国学会服务地方产业发展试点项目正式落地山西。该项目由中国科协主导,振东制药协办,研发总...

  • 十亿善款,三十二年坚守:振东制药公益“长城”这样建成

    如果说慈善事业是企业责任感的一个缩影。那么振东制药的慈善“侧写”便是大爱无疆。山西振东健康产业集团自太行山深处诞生,稳扎稳打、守正创新,跻身中国药企中流砥柱行列。引导旗下公益扶贫办凝聚共识、加强合作...

  • 千人竞逐“红气球”,振东集团公益精神在晋中大地闪耀

    5月25日,山西省高校新区(山西大学城)热闹非凡,2025“红气球挑战赛”(晋中站)在此鸣笛开赛。这场没有奖金的赛事,却吸引了来自社会各界及山西大学城高校的一千余名选手踊跃参与,他们“一起红气球,快乐学急救”...

  • 振东集团:32年慈善长跑背后的“共富密码”

    在商业与公益的天平上,山西振东健康产业集团选择了后者——即便负债也要坚持的"变态慈善"。这家从太行山走出的民营企业,用32年时间构建起一套独特的公益生态系统,累计捐赠超10亿元,将"与民同富、与家同兴、与国...

财经

唯品会经营范围变更 新增医疗器械、蔬菜水果零售等业务 唯品会经营范围变更 新增医疗器械、蔬菜水果零售等...

天眼查数据显示,3月31日,唯品会(中国)有限公司发生工商变更,经营范围新增蔬菜零售;非许可类医疗器...

  • 品钛旗下赣州爱信小贷正式接入人民银行征信系统

        北京2020年4月7日 /美通社/ -- 领先的金融科技解决方案提供商品钛(Pintec Technology Holdings Ltd., Nasdaq: PT) 今日宣布旗下的赣州爱信网络小额贷款有限公司(下称“爱信小贷”)正式接入中国人民银行...

  • 特斯拉空头近一个月减少超200万股

      据金融分析机构S3 Partner数据显示,截至4月3日,特斯拉未平仓空头头寸为1604万股,占流通股的10.97%。过去30天,特斯拉未平仓空头头寸减少222万股或12.18%,期间股价上涨32%;过去一周,特斯拉未平仓空头头...

  • 特斯拉展示新型自研呼吸机:与Model 3共用零件

      特斯拉之前宣布将开发新的呼吸机,而现在他们展示了这种新型设计。特斯拉在YouTube发布了视频,其工程师演示了两个版本的呼吸机,一个是把所有零件摆在桌子上的原型,另外一个则是组装好的设备,用于显示在医...

  • 特朗普称将在下一轮刺激计划中为美国民众发放更多的钱

      北京时间4月7日消息,美国总统特朗普称将在下一轮刺激计划中为美国民众发放更多的钱。在白宫新闻发布会上表示,特朗普“肯定”想听取下一次刺激计划的想法,并补充道他希望其中包括“切切实实的基础设施”。  ...

研究人员开发了可改善Firefox安全性的框架

发布时间:2020/02/27 科技 浏览:501

 
来自加利福尼亚大学圣地亚哥分校,德克萨斯大学奥斯汀分校,斯坦福大学和Mozilla的研究人员已经开发了一种新的框架来提高Web浏览器的安全性。名为RLBox的框架已集成到Firefox中,以补充Firefox的其他增强安全性的工作。
RLBox通过将容易受到攻击的第三方库与其他浏览器分离开来,以包含潜在的损害,从而提高了浏览器的安全性-一种称为沙盒的做法。该研究将发表在USENIX安全研讨会的议事录中。
像Firefox这样的浏览器都依赖第三方库来支持媒体解码(例如,渲染图像或播放音频文件)以及许多其他功能。这些库通常是用低级编程语言(如C)编写的,并且针对性能进行了高度优化。
加州大学圣地亚哥分校计算机科学与工程系的助理教授Deian Stefan指出:“不幸的是,C代码中的错误通常是安全漏洞,攻击者确实善于利用这些安全漏洞。”
RLBox允许浏览器继续使用现成的,高度优化的库,而不必担心这些库的安全性影响。首席博士说:“通过隔离库,我们可以确保攻击者不能利用这些库中的错误来破坏浏览器的其余部分。”该项目的学生Shravan Narayan。
RLBox的关键要素是底层的沙箱机制,该机制可防止越野车库干扰浏览器的其余部分。该研究调查了各种具有不同权衡因素的沙盒技术。但是,该团队最终与位于旧金山的Fastly的工程团队合作,采用了基于WebAssembly的沙盒技术,WebAssembly是一种专为沙盒设计的新型中间语言。该团队认为,WebAssembly将成为更广泛的未来安全浏览器和安全系统的关键部分。最近在Mozilla Hacks的博客文章中详细介绍了WebAssembly沙箱工作。
“不幸的是,将库放在沙箱中是不够的,您需要仔细检查沙箱中的所有数据,否则,高级攻击者可能会诱使浏览器做错事并使沙箱工作变得无用,”斯特凡说。 RLBox通过标记跨越边界的所有内容并确保在使用所有经过标记的数据之前对其进行验证,从而消除了此类攻击。
RLBox已集成到Mozilla的Firefox中,并将在Firefox 74和Firefox 75中分别提供给Linux用户和Firefox 75中的Mac用户,并计划在其他平台上实施。
Mozilla的首席工程师Bobby Holley说:“这很重要。” “安全是我们的重中之重,在C / C ++中犯错误很容易。我们正在Rust中编写许多新代码,但是Firefox是一个庞大的代码库,包含数百万行C / C ++,不会很快消失。RLBox可以以一种粒度来快速,轻松地隔离现有的代码块,这是当今浏览器中使用的进程级沙箱所无法实现的。”
在研究中,研究小组使用RLBox隔离了六个库。首先,Firefox将附带其沙盒Graphite字体整形库。 Mozilla计划在将来更广泛地应用沙盒,最终使数百万用户的浏览器更加安全。