Um sandbox de navegador é um ambiente de execução isolado, projetado para confinar o conteúdo web dentro de limites rígidos. Os navegadores modernos usam sandboxing para limitar como as páginas web e os scripts carregados interagem com o sistema operacional subjacente e para impedir que as abas se comuniquem entre si. Se um atacante explora uma falha no navegador, o sandbox ajuda a impedir que o código malicioso escape para o sistema maior. Na área da segurança client-side, o sandboxing é uma das mitigações centrais contra ataques como drive-by downloads e exploração de corrupção de memória.
O sandboxing do navegador é um modelo de isolamento no nível do sistema operacional que executa conteúdo web não confiável em processos de baixo privilégio, isolados do restante da máquina. Os navegadores modernos dividem o trabalho entre múltiplos processos: os processos de renderização que analisam o HTML, executam JavaScript e organizam o layout das páginas rodam com permissões fortemente reduzidas e sem acesso direto ao sistema de arquivos, à pilha de rede ou a outras abas. Eles se comunicam com um processo de navegador mais privilegiado apenas por meio de um canal estreito e validado entre processos. O isolamento de sites estende isso, de modo que documentos de origens diferentes acabam em processos de renderização separados. O resultado é que uma falha no motor de renderização fica confinada a um contêiner que não pode, por si só, tocar arquivos do usuário ou dados de outro site.
O motor de renderização é a maior superfície de ataque do navegador: ele analisa entradas hostis de todos os sites que o usuário visita. Sem o sandboxing, uma única falha de corrupção de memória poderia dar a um invasor execução de código com os privilégios completos do usuário, viabilizando um download drive-by ou o roubo de credenciais. O sandboxing eleva o obstáculo ao forçar os invasores a encadear uma exploração do renderizador com uma exploração separada de fuga do sandbox, algo bem mais difícil e caro. É uma mitigação fundamental por trás do fato de que apenas visualizar uma página maliciosa raramente compromete o dispositivo inteiro hoje. O isolamento de sites reforça adicionalmente contra vazamentos de dados entre origens, incluindo canais laterais de execução especulativa como o Spectre, que de outra forma poderiam ler a memória de outra origem.
O sandboxing é fornecido pelo navegador, então a ação defensiva mais forte é manter os navegadores e seus componentes atualizados, já que as fugas são corrigidas rapidamente assim que conhecidas. Ative as atualizações automáticas, aposente plugins sem manutenção e use políticas corporativas para manter os recursos de isolamento ativados. O sandbox protege o endpoint, mas não avalia os scripts que um site opta por carregar; um script third-party comprometido roda tranquilamente dentro do sandbox e ainda pode extrair dados da página. A cside atua nessa camada de aplicação, roteando scripts third-party por um método Script, analisando o payload real, bloqueando comportamento malicioso em tempo real e retendo registros forenses para dar suporte ao PCI DSS 6.4.3 e 11.6.1.
Não. O sandboxing isola o processo do navegador do sistema operacional, mas um skimmer que um site carrega legitimamente roda como JavaScript comum da página dentro do sandbox. Ele ainda pode ler campos de formulário e exfiltrar dados de cartão. Impedir isso exige o monitoramento no nível do payload dos scripts que a página carrega.
Uma fuga de sandbox é uma exploração que permite que o código rodando em um processo de renderização restrito escape e obtenha os privilégios mais altos do processo do navegador ou do sistema operacional. Como normalmente exige encadear uma segunda vulnerabilidade, as fugas são raras, de alto valor e corrigidas rapidamente quando divulgadas.
We answer client-side security questions every day. Bring yours.