6888 Letture

Le tecnologie di "sandboxing" vanno estese a tutti i browser

L'idea alla base delle tecnologie di "sandboxing" consiste nel rendere molto più complicata, per eventuali aggressori, l'esecuzione di codice nocivo sul sistema dell'utente. Per questo è sempre più necessario investire su questo genere di approccio. Parola del ricercatore, esperto di sicurezza, Dino Dai Zovi, che attraverso le pagine del blog di Kaspersky osserva come nel prossimo futuro i produttori di software debbano guardare con sempre maggior interesse verso le tecniche di "sandboxing". Un plauso al browser Google Chrome che per primo ha adottato il concetto di "sandboxing".

Con la crescita della complessità delle applicazioni web, il browser diventa uno strumento sempre più "delicato" ed inevitalmente più soggetto ad attacchi rispetto a quanto accadeva in passato. Se il browser utilizza tecniche di "sandboxing", anche se un aggressore dovesse riuscire a sfruttare una vulnerabilità del prodotto dovrebbe compiere un passo in più ovvero individuare anche una falla di sicurezza nella tecnologia per la gestione della "sandbox". Solo in questo modo potrebbe effettivamente danneggiare il contenuto del personal computer. "Le sandbox consentono di alzare notevolmente il livello di sicurezza", ha fatto presente Dai Zovi, "tanto che gli aggressori debbono orientarsi verso altre tipologie di attacco quali, ad esempio, la distribuzione di falsi programmi antivirus (rogue antivirus; ved. questa pagina)".

Secondo Dai Zovi il browser dovrebbe somigliare sempre più ad un sistema operativo. Una visione che, in sostanza, ricalca quella di Google.


Chrome ha fatto proprio l'approccio "sandboxing" già con il rilascio della prima versione del browser, nel mese di settembre 2008. Dai Zovi auspica l'adozione di tecnologie simili anche da parte degli altri principali produttori di browser web. Il ricercatore osserva come sia Internet Explorer 7 che Internet Explorer 8, su Vista e Windows 7, propongano anche una speciale modalità di avvio che consente eseguire l'applicazione utilizzando privilegi utente limitati. Sebbene questo espediente riduca gli effetti di un eventuale attacco malware, non si tratta di un vero e proprio sistema di "sandboxing".
Al momento né Mozilla Firefox, né Apple Safari, né Opera offrono alcun meccanismo di "sandboxing".


Mozilla sta lavorando su una tecnologia il cui principio di funzionamento appare molto simile a quello impiegato in Google Chrome. Il progetto si chiama "Mozilla Electrolysis" e dovrebbe debuttare con il rilascio di Firefox 4.0, programmato per la fine dell'anno o l'inizio del 2011.

  1. Avatar
    sh4rk_89
    13/01/2010 09:55:03
    la security-throug-isolation è l'unico sistema che funziona..
  2. Avatar
    Chulo
    12/01/2010 19:51:10
    Sono sicuramente d'accordo con il responsabile Kaspersky quando dice:"Le sandbox consentono di alzare notevolmente il livello di sicurezza". Ma non su tutto il resto. C'è una ottima opportunità, anche free tra l'altro come Sandboxie, implementare delle sandbox nei browser personalmente non la trovo affatto una buona idea. Vorrei un browser che fa il browser, che poi se e quando voglio posso facilmente "rinchiudere" in box con un programma terzo, quasi sicuramente più leggero nel complesso e che probabilmente funge anche meglio.
  3. Avatar
    gnulinux866
    12/01/2010 11:48:36
    Vero Chrome è l'unico browser su Windows ad avere, una sandbox indipendente, diversa da quella di Internet explorer 8 che dipende dal UAC. Altro esempio su Ubuntu 9.10 c'è AppArmor che parte con 10 profili attivi, trai quali c'è FF3.5, quindi anche esso gira in sandbox su tale sistema, in definita il sandboxing non è una questione che riguarda solo direttamente il browser ma anche il sistema sui cui esso gira.
Le tecnologie di