Een browser-sandbox is een geïsoleerde uitvoeringsomgeving ontworpen om webcontent binnen strikte grenzen te houden. Moderne browsers gebruiken sandboxing om te beperken hoe geladen webpagina's en scripts interageren met het onderliggende besturingssysteem, en om te voorkomen dat tabbladen met elkaar communiceren. Als een aanvaller een fout in de browser exploiteert, helpt de sandbox te voorkomen dat kwaadaardige code ontsnapt naar het grotere systeem. In het client-side beveiligingslandschap is sandboxing een van de kernmitigaties tegen aanvallen zoals drive-by downloads en memory corruption exploits.
Browser-sandboxing is een isolatiemodel op besturingssysteemniveau dat niet-vertrouwde webcontent draait in processen met lage rechten, afgeschermd van de rest van de machine. Moderne browsers verdelen het werk over meerdere processen: rendererprocessen die HTML parsen, JavaScript uitvoeren en pagina's opmaken, draaien met sterk beperkte rechten en zonder directe toegang tot het bestandssysteem, de netwerkstack of andere tabbladen. Ze communiceren alleen via een smal, gevalideerd kanaal tussen processen met een meer geprivilegieerd browserproces. Site-isolatie breidt dit uit zodat documenten van verschillende origins in aparte rendererprocessen belanden. Het resultaat is dat een bug in de rendering-engine wordt ingeperkt tot een container die op zichzelf geen gebruikersbestanden of gegevens van een andere site kan bereiken.
De rendering-engine is het grootste aanvalsoppervlak van de browser: hij parseert vijandige invoer van elke site die een gebruiker bezoekt. Zonder sandboxing zou één enkel geheugencorruptie-lek een aanvaller code-uitvoering met de volledige rechten van de gebruiker kunnen geven, wat een drive-by-download of diefstal van inloggegevens mogelijk maakt. Sandboxing legt de lat hoger door aanvallers te dwingen een renderer-exploit te koppelen aan een aparte sandbox-ontsnappingsexploit, een veel lastigere en duurdere onderneming. Het is een fundamentele beschermingsmaatregel achter het feit dat het louter bekijken van een kwaadaardige pagina tegenwoordig zelden het hele apparaat compromitteert. Site-isolatie verhardt bovendien tegen cross-origin-datalekken, waaronder side-channels via speculatieve uitvoering zoals Spectre, die anders het geheugen van een andere origin zouden kunnen lezen.
Sandboxing wordt door de browser geleverd, dus de sterkste verdedigende actie is het gepatcht houden van browsers en hun onderdelen, aangezien ontsnappingen snel worden verholpen zodra ze bekend zijn. Schakel automatische updates in, verwijder niet-onderhouden plug-ins en gebruik bedrijfsbeleid om isolatiefuncties aan te houden. De sandbox beschermt het endpoint, maar controleert niet de scripts die een site kiest te laden; een gecompromitteerd third-party-script draait vrolijk binnen de sandbox en kan nog steeds gegevens van de pagina afhalen. cside werkt op die applicatielaag, leidt third-party-scripts via een hybride proxy, analyseert de daadwerkelijke payload, blokkeert kwaadaardig gedrag in realtime en bewaart forensische verslagen om PCI DSS 6.4.3 en 11.6.1 te ondersteunen.
Nee. Sandboxing isoleert het browserproces van het besturingssysteem, maar een skimmer die een site rechtmatig laadt, draait als gewone pagina-JavaScript binnen de sandbox. Die kan nog steeds formuliervelden lezen en kaartgegevens naar buiten sluizen. Om dat te stoppen is monitoring op payload-niveau van de scripts die de pagina laadt nodig.
Een sandbox-ontsnapping is een exploit die code die in een beperkt rendererproces draait laat uitbreken om de hogere rechten van het browserproces of het besturingssysteem te verkrijgen. Omdat dit meestal het koppelen van een tweede kwetsbaarheid vereist, zijn ontsnappingen zeldzaam, waardevol en worden ze snel gepatcht zodra ze bekend zijn.
We answer client-side security questions every day. Bring yours.