Em um esforço para aumentar a segurança e mitigar problemas de corrupção de memória, o Google anuncia o suporte ao V8 Sandbox no navegador Chrome.
V8 é o “motor” por trás da execução de códigos JavaScript e WebAssembly no navegador Chrome, permitindo a interatividade e funcionalidades complexas que experimentamos na web moderna.
Ele é responsável por interpretar e executar códigos escritos nessas linguagens de programação, tornando possível a interatividade e funcionalidades avançadas das páginas web modernas. Ele gera os efeitos desejados na página web, como animações, interações com o usuário e processamento de dados.
O V8 é um projeto de código aberto mantido pelo Google, sendo um componente crucial do navegador Chrome. Ele é conhecido por sua alta performance e o Google constantemente atualiza e melhora o V8 para torná-lo mais rápido, seguro e compatível com os recursos mais recentes da web.
O V8 Sandbox, como o nome sugere, é um ambiente isolado criado para o motor V8, responsável por executar JavaScript e WebAssembly no Chrome.
Essa sandbox leve dentro do processo visa conter o impacto de vulnerabilidades, limitando o código V8 a um subconjunto específico do espaço de endereço virtual do processo.
Com a implementação do V8 Sandbox, espera-se que o número de falhas e o risco de ataques sejam drasticamente reduzidos.
De acordo com Samuel Groß , líder técnico de segurança do V8, as falhas de corrupção de memória no V8 representam um risco significativo. O V8 Sandbox atua como uma barreira, impedindo que essa corrupção se espalhe para outras partes do processo do Chrome, protegendo assim o sistema do usuário.
Benefícios do V8 Sandbox:
- Maior segurança e estabilidade do navegador Chrome
- Redução do risco de ataques e exploração de vulnerabilidades
- Proteção contra corrupção de memória e outros tipos de falhas
O Google relata que as falhas no V8 foram responsáveis por uma parcela significativa das vulnerabilidades de dia zero corrigidas entre 2021 e 2023. Inclusive eu abordo falhas no V8 na Aula 44 do curso MAW23.
Os resultados de benchmark do Speedometer e do JetStream mostram que o recurso de segurança adiciona uma sobrecarga de cerca de 1% em cargas de trabalho típicas, permitindo que ele seja ativado por padrão a partir da versão 123 do Chrome, abrangendo Android, ChromeOS, Linux, macOS e Windows.
“O V8 Sandbox requer um sistema de 64 bits, pois precisa reservar uma grande quantidade de espaço de endereço virtual, atualmente um terabyte”, disse Groß.
Um detalhe importante é que o navegador Edge da Microsoft permite desabilitar o V8 no Modo Estrito na opção de segurança na web:
