Win10新浏览器Edge:性能升,危险增

安全
Windows10的新浏览器Edge相比IE在显著提升了安全性能的同时,也随之带来了旧版中并不存在的新型潜在威胁。

Windows10的新浏览器Edge相比IE在显著提升了安全性能的同时,也随之带来了旧版中并不存在的新型潜在威胁。

Win10新浏览器Edge:性能升,危险增

集成插件

微软Edge浏览器中有两个被广泛使用的插件:Adobe Flash以及一个PDF阅读器。多年以来,Flash已经证明了自己是一个重大的安全隐患。尽管我们认为用户和网站都应远离Flash,而情况却是在可预见的未来Flash不会消失。但是针对Flash的攻击仍将继续,微软将Flash作为一项内置功能,只能说是勇气可嘉。

同样,集成PDF阅读器出现在模块windows.data.pdf.dll中,这也潜在为攻击者提供了一个进入Edge浏览器的路径。

尽管这些都存在潜在的风险向量,而恰当地使用仍可保障相对的安全性。同样是运用集成插件的Google Chrome和Firefox并没有什么重大问题出现,而合理利用则可以降低风险。

此外,融合Flash也就意味着可以更随windows更新,Flash也获得更新,这样便可以降低用户运行低版本Flash时所产生的巨大风险。(注意,这并非首次出现:在Windows 8中IE浏览器已经如此了。)

支持asm.js

Edge与Chrome都支持asm.js。这一原本来自于Mozilla的asm.js,提供了一种让由C、C++或其它语言编写的原生代码在浏览器端运行的途径。sm.js中包含了JavaScript的一个严格子集 —— 包括严格类型的整数、浮点数、数值计算、函数调用和堆访问,这对速度起到优化作用。实际上,就是将其他代码转化成JS代码。LLVM编译器负责这一任务。

Win10新浏览器Edge:性能升,危险增

 

然而,在其他支持asm.js的浏览器中都出现了安全问题。2015年度Pwn2Own比赛中,一个Mozilla Firefox中asm.js实现中的漏洞(CVE-2015-0817)被用于成功破解了浏览器。因此,我们无法排除这样的危险性,未来微软Edge浏览器也可能从这里被搞定。

新拓展模型

Edge将会在推出Windows10之后的某个时间发布升级的扩展支持。而Chrome和Firefox的扩展可以在相对稍加修改的基础上用于微软Edge当中,但是具体的细节尚不明确。

而这些扩展将在AppContainer沙盒中运行,但是沙盒逃逸漏洞可以被用于逃逸。此外,不能排除会有恶意扩展出现——要么一开始就是恶意扩展,要么就是一个合规的扩展被修改后进而成为一个恶意项目。

然而,Edge目前尚没有支持任何扩展。

浏览器安全性PK

下面的表格中显示了不同浏览器多特性、保护能力以及受攻击面的比较。

Win10新浏览器Edge:性能升,危险增

 

尽管IE 11支持EPM沙盒,但在默认情况下只是用PM沙盒。IE 11在默认的渲染流程为32-bit。

Win10新浏览器Edge:性能升,危险增

 

图为受攻击平面

Win10新浏览器Edge:性能升,危险增

 

主流浏览器exp缓解性能

总结

Edge相较IE 11而言确实有一个明显的改善,特别是在升级的沙箱和利用减排技能让破解Edge变得更加困难。此外,删除过去不被使用的那些功能也减少了针对浏览器发出的攻击向量。

总的来说,我们认为Edge已经到达了能与Chrome比肩的地步,二者都同样明显地优于Firefox。然而,不容乐观的是Edge仍存在许多攻击者可以突破的地方。考虑到现在浏览器复杂的需求,这或许也是现实无法避免的。

责任编辑:蓝雨泪 来源: FreeBuf
相关推荐

2018-03-29 09:05:07

Chrome 浏览器 Win10

2020-05-29 09:45:51

Windows 功能系统

2021-07-15 05:33:15

Edge 浏览器微软

2017-05-11 11:40:43

2021-01-18 16:32:08

微软WindowsWindows 10

2021-04-19 07:00:57

微软Edge浏览器

2021-03-10 09:59:16

Windows10操作系统浏览器

2015-04-09 14:13:27

JavaScriptWin10斯巴达浏览器

2024-06-04 00:00:01

微软EdgeReact

2015-10-08 11:13:18

Chrome Edge浏览器

2020-11-30 06:09:56

Windows10

2021-03-15 08:24:32

Windows 10Windows微软

2015-08-20 09:27:16

2016-12-22 16:18:33

微软Edge浏览器谷歌

2022-09-12 23:19:45

Windows 10Windows 11钱包

2021-04-22 05:39:33

微软Edge浏览器

2021-05-28 15:57:16

谷歌Chrome 浏览器

2015-09-22 09:50:21

EdgeEdgeHTMLWindows 10

2021-12-26 09:00:15

IE浏览器Edge浏览器浏览器

2015-04-02 17:10:29

点赞
收藏

51CTO技术栈公众号