Google kích hoạt “Site Isolation” trên Chrome để chống lỗ hổng Spectre

Google mặc định kích hoạt cho người dùng PC một tính năng bảo mật có tên “Site Isolation” kể từ bản Chrome 67 ra mắt để bảo vệ người dùng khỏi nhiều mối nguy hại trực tuyến như nguy cơ bị tấn công Spectre và Meltdown.

Site Isolation là một tính năng trên trình duyệt Google Chrome với khả năng tạo thêm một rào cản bảo mật giữa các website bằng cách đảm bảo mỗi website được chạy trên một tiến trình riêng biệt không liên quan đến nhau.

Do mỗi trang trong trình duyệt chạy trên một tiến trình sandbox riêng, sẽ khó hơn cho các website không đáng tin cậy truy cập hoặc đánh cắp tài khoản trên các website khác của bạn.

Vào tháng 1 năm nay khi các nhà nghiên cứu của Google Project Zero công bố chi tiết về lỗ hổng Spectre và Meltdown, gã khổng lồ công nghệ đã khuyên người dùng Chrome trên PC kích hoạt thủ công tính năng Site Isolation trên máy của họ để giảm ảnh hưởng của các cuộc tấn công phỏng đoán kênh bên.

“Kể cả nếu một cuộc tấn công Spectre có được thực hiện trên một trang web độc hại, dữ liệu từ các trang web khác nhìn chung sẽ không được tải vào cùng một tiến trình nên sẽ có ít thông tin được cung cấp cho tin tặc hơn,” kỹ sư Google Charlie Reis giải thích trong một bài viết.

“Nhờ đó ta có thể giảm đáng kể độ nguy hiểm của lỗ hổng Spectre.”

Sau khi tìm ra nhiều biến thể và biến thể con của họ Spectre, Google đã kích hoạt tính năng bảo mật này trên 99% người dùng Chrome trên máy tính chạy Windows, Mac, Linux, và Chrome OS.

Do quy mô lớn của thay đổi này, công ty sẽ giữ lại 1 phần trăm người dùng để giám sát và cải thiện hiệu năng.

Google cũng đang điều tra cách để đưa tính năng Site Isolation sang Chrome trên Android vốn “vẫn còn những vấn đề khác đã được tìm ra,” nhưng hiện người dùng đã có thể kích hoạt thủ công tính năng này.

“Chính sách thử nghiệm doanh nghiệp khi kích hoạt Site Isolation sẽ có mặt trong Chrome 68 cho Android và có thể được kích hoạt thủ công thông qua chrome://flags/#enable-site-per-process,” công ty cho biết.

Do các trình duyệt hầu như cho phép trang embed ảnh và đoạn mã từ bất kỳ trang web nào, Google cũng đã thêm một cơ chế gọi là Chặn hành vi đọc cùng nguồn (CORB) vào trong tính năng Site Isolation với khả năng “yêu cầu trình duyệt cho một ứng dụng web đang chạy trên một nguồn (tên miền) có quyền truy cập các tài nguyên định trước trên một máy chủ ở nguồn khác.”

“Cùng với đó, Site Isolation cũng bảo vệ người dùng tốt hơn đối với lỗ hổng trình duyệt UXSS,” Google cho hay.

“Các lỗ hổng bảo mật dạng này thường sẽ cho tin tặc vượt qua Chính sách cùng nguồn trong quá trình render, dù không cho họ toàn quyền điều khiển quá trình đó.”

Cũng cần chú ý rằng các tiến trình được tạo thêm bởi Site Isolation có thể làm Chrome tốn bộ nhớ hơn, nhưng Google đã hứa sẽ tối ưu để trình duyệt này vẫn chạy nhanh.

THN