Moet u site-isolatie uitschakelen in Google Chrome
Diversen / / November 29, 2021
Inmiddels heb je vast wel gehoord van 'Spectre', de onheilspellende beveiligingsfout die treft bijna alle moderne CPU's. En terecht, aangezien de kwetsbaarheid draait om snode applicaties en websites die toegang krijgen tot gegevens uit gebieden waar dat eigenlijk niet zou moeten. Om specifiek met dit probleem om te gaan, hebben browsers verschillende beveiligingsmechanismen ontwikkeld, en een van die Chrome-specifieke implementatie is Site Isolation.
Voor het eerst geïntroduceerd in Chrome v63 als een optionele beveiligingsfunctie, wordt Site Isolation nu standaard uitgevoerd sinds versie 67. Technisch gezien is het behoorlijk bedreven in het afzwakken van speculatieve uitvoeringsaanvallen (waarop Spectre is gebaseerd) vanwege de sandbox-processen die het gebruikt.
Maar net als met alles wat goed is, heeft het een prijs - om specifiek te zijn, prestaties. Dus, zou het uitschakelen van Site-isolatie de werking van Chrome verbeteren? Is het de afweging waard in beveiliging? Laten we het uitzoeken.
Spectre en site-isolatie
Net als elke andere browser kunt u met Google Chrome meerdere websites openen met verschillende tabbladen. Vóór de implementatie van Site Isolation werden tabbladen gebruikt om gemeenschappelijke processen te delen - wat logisch is omdat het dupliceren van taken een verspilling van systeembronnen zou zijn. Dat is echter een ideale situatie voor een kwaadwillende aanval op basis van een gebrekkig CPU-ontwerp - Spectre.
Moderne microprocessors gebruiken speculatieve uitvoering om gegevens van het systeemgeheugen vooraf te laden op de aanzienlijk snellere CPU-cache als een middel om de algehele prestaties te verbeteren. Dit biedt echter een unieke kans voor kwaadaardige code om de CPU ertoe aan te zetten gevoelige gegevens in de cache op te halen door gebruik te maken van gedeelde processen. Zodra de gegevens zich in de CPU-cache bevinden, blijven ze onbeschermd (in tegenstelling tot het systeemgeheugen) en kunnen ze gemakkelijk worden gestolen.
Stel dat u een aantal tabbladen open heeft staan - een met uw bankrekening en de andere met een willekeurige site. In theorie kan de laatste, op voorwaarde dat het kwaadwillende bedoelingen heeft, in de CPU-cache duiken die door de. wordt gebruikt vorige tabblad, en laad en lees dan informatie variërend van inloggegevens tot cryptografie sleutels.
Hoewel het vrij moeilijk voor te stellen is dat zo'n incident plaatsvindt vanwege de beperkte CPU-cache (wat slechts een fractie is vergeleken) naar systeemgeheugen), bepaalt in plaats daarvan schadelijke code precies welke gegevens moeten worden gestolen door het verschil tussen CPU-toegang te vergelijken snelheden. Immers, als dingen sneller gaan dan normaal, dan wordt dat veroorzaakt doordat de gegevens zich al in de CPU-cache bevinden door nauwkeurige speculatie.
Na ontdekking van de Spectre-kwetsbaarheid, browsers begonnen verschillende tijdelijke oplossingen te gebruiken (zoals timers met een lagere resolutie om de nauwkeurigheid van het bepalen van de CPU-toegangssnelheden te verminderen) om gerichte aanvallen af te weren. Ze zijn echter geen perfect middel om op Spectre gebaseerde bedreigingen tegen te gaan, vandaar de reden voor Site Isolation.
Site-isolatie, zoals de naam al doet vermoeden, isoleert tabbladen volledig van elkaar door afzonderlijke processen te creëren voor alle iframes (ingesloten externe links), inclusief de processen die gemeenschappelijk zijn voor andere tabbladen. Aangezien gedeelde processen een grote rol spelen bij het helpen van kwaadaardige code bij het bewaken en lezen van informatie van andere tabbladen, het gebruik van onafhankelijke processen door Site Isolation werkt goed bij het verminderen van dergelijke kwetsbaarheden.
Kijkend naar ons vorige voorbeeld, met Site-isolatie ingeschakeld, werkt uw bankrekeningportal op een heel ander proces en deelt niets vergelijkbaars met het andere tabblad. Deze ‘isolatie’ reduceert de kans op het stelen van informatie bij een datalek tot een minimum.
Verhoogde geheugenoverhead
U moet zich dus afvragen of Site-isolatie ten koste gaat van de prestaties vanwege het extra systeemgeheugen dat wordt gebruikt door elk afzonderlijk proces - browsertabblad. Volgens de Google Online-beveiligingsblog, gebruikt de beveiligingsimplementatie tot 10-13% meer RAM dan wanneer de functie in de eerste plaats niet actief is.
Laten we eens kijken hoe nauwkeurig dit cijfer in de praktijk is. Zonder Site-isolatie ingeschakeld, toont de onderstaande schermafbeelding een aantal websites die veel vergelijkbare iframes gebruiken. Alleen de twee tabbladen hebben afzonderlijke lopende taken, zonder onafhankelijke processen voor een van de iframes.
Opmerking: De schermafbeeldingen worden weergegeven met Chrome's ingebouwde Taakbeheer. Om toegang te krijgen, opent u het Chrome-menu, wijst u naar Meer hulpprogramma's en klikt u vervolgens op Taakbeheer.
Dezelfde paar tabbladen, met Site-isolatie ingeschakeld, worden weergegeven in de volgende schermafbeelding. Zoals u kunt zien, is er een aanzienlijke toename van het aantal extra processen vanwege de iframes die door elke site worden gebruikt. Verder worden vergelijkbare processen verder in tweeën gesplitst om de kans op een succesvolle speculatieve uitvoeringsaanval te verkleinen. Als je de wiskunde doet (zonder rekening te houden met de browser- en GPU-procestaken), gebruiken beide sites uiteindelijk ongeveer 33% meer geheugen.
Het geheugengebruik is aanzienlijk hoger dan wat wordt vermeld door Google. Beschouw het cijfer van 10-13% meer als een langetermijngemiddelde. Sites, en zelfs individuele webpagina's, verschillen in het aantal processen en het geheugen dat van tijd tot tijd nodig is. Daarom kan het bovenstaande scenario als een uitbijter worden beschouwd.
Hoe dan ook, site-isolatie resulteert in een matige, of in dit geval, aanzienlijke toename van de geheugenoverhead.
Beveiliging versus Uitvoering
Het uitschakelen van site-isolatie resulteert in een daling van het geheugengebruik en mogelijk een verbetering van de prestaties op low-end apparaten. Chrome is echter vrij bedreven in het beheren van het beschikbare geheugen door ongebruikte tabbladen op te schorten. Aangezien het geheugengebruik van site tot site drastisch varieert, is er geen definitief antwoord. Op apparaten met veel systeemgeheugen zouden de prestatieverschillen verwaarloosbaar moeten zijn.
Maar hier is de vangst. Vanwege de implementatie van Site Isolation zou Chrome na verloop van tijd de reeds bestaande tegenmaatregelen tegen Spectre-aanvallen moeten laten vallen. Daarom zal het uitschakelen ervan nog meer blootstelling aan kwaadaardige aanvallen veroorzaken.
Als we de twee tegen elkaar afwegen, maken de potentiële kwetsbaarheden veroorzaakt door Spectre, in combinatie met het steeds toenemende gebruik van persoonlijke gegevens, het uitschakelen van Site Isolation een slecht idee. Tenzij u op een low-end apparaat surft en helemaal geen gebruik maakt van persoonlijke gegevens, alleen dan zou u zelfs moeten overwegen om deze essentiële beveiligingsfunctie uit te schakelen.
Site-isolatie uitschakelen
Als u Site-isolatie uitschakelt, wordt uw computer blootgesteld aan aanzienlijke beveiligingsrisico's. Als u echter door wilt gaan en de functie wilt uitschakelen, vindt u hieronder de specifieke stappen om dat te doen.
Waarschuwing: Als Site-isolatie is uitgeschakeld, mag u geen persoonlijke browsegegevens op een website gebruiken. Hetzelfde geldt voor het opslaan van gevoelige informatie in Chrome, zoals wachtwoorden.
Stap 1: Typ chrome://flags op een nieuw tabblad en druk op Enter om de experimentele Chrome-vlaggen te openen.
Stap 2: Typ Site-isolatie in de zoekbalk en druk vervolgens op Enter.
Stap 3: U zou twee Chrome-vlaggen moeten zien met het label Strict Site Isolation en Site Isolation Trial Opt Out.
- Stel de markering Strict Site Isolation in op Uitgeschakeld. Op specifieke apparaten is dit mogelijk standaard ingesteld op Uitgeschakeld - als dat het geval is, hoeft u niets te doen.
- Stel de markering Site Isolation Trial Opt Out in op Opt-Out (niet aanbevolen).
Klik vervolgens op Nu opnieuw starten om de wijzigingen toe te passen.
Stap 5: Site-isolatie is nu uitgeschakeld. Typ chrome://process-internals in een nieuw tabblad en druk op Enter om dit te verifiëren.
Site-isolatiemodus moet worden gelezen als Uitgeschakeld om bevestiging aan te duiden. Als u Site-isolatie op een later tijdstip wilt inschakelen, gaat u terug en wijzigt u de vlaggen in de oude toestand en start u Chrome opnieuw.
Nee, het is het risico niet waard
Het uitschakelen van een kritieke Chrome-beveiligingsfunctie, zoals site-isolatie om het geheugengebruik te verminderen, is niet gerechtvaardigd. Vooral als je bedenkt hoe elke site het geheugen anders gebruikt. Dus eventuele marginale prestatieverbeteringen ten koste van uw persoonlijke informatie moeten niet worden nagestreefd. Als u worstelt met prestaties, kunt u altijd overweeg een alternatieve browser te gebruiken zoals Firefox Quantum dat een veel lagere geheugenvoetafdruk heeft in vergelijking met Chrome voordat het iets overhaast doet.