Programvaruutvecklare är bekymrade över de oavsiktliga konsekvenserna av nya webbteknologier

GLÖMMA

Nyare webbteknologier som WebAssembly och Rust hjälper till att massivt minska den tid det tar för vissa klientsidesprocesser att ladda sidor, men utvecklare släpper nu ut ny information som kan leda till korrigeringar för dessa applikationsplattformar under de kommande veckorna .

Flera tillägg och uppdateringar är planerade för WebAssembly, vilket hypotetiskt kan göra några av Meltdown- och Spectre-attackminskningarna värdelösa. En rapport från en forskare från Forcepoint antydde att WebAssembly-moduler kunde användas för onödiga syften och vissa typer av tidsangrepp kan faktiskt förvärras på grund av nya rutiner som är avsedda att göra plattformen mer tillgänglig för kodare.

Tidsangrepp är en underklass av sidokanalutnyttjande som gör det möjligt för en tredje part att titta på krypterad data genom att ta reda på hur lång tid det tar att utföra en kryptografisk algoritm. Meltdown, Spectre och andra relaterade CPU-baserade sårbarheter är alla exempel på timingattacker.

Rapporten föreslår att WebAssembly skulle göra dessa beräkningar mycket enklare. Det har redan använts som en attackvektor för att installera kryptovalutagruppsprogramvara utan tillstånd, och det kan också vara ett område där nya korrigeringar kommer att krävas för att förhindra ytterligare missbruk. Detta kan innebära att korrigeringar för dessa uppdateringar kan behöva komma ut efter att de släppts för en majoritet av användarna.

Mozilla har försökt mildra problemet med att tajma attacker i viss utsträckning genom att minska precisionen hos vissa prestandaräknare, men nya tillägg till WebAssembly kan göra det inte längre effektivt eftersom dessa uppdateringar kan tillåta ogenomskinlig kod att köras på en användares maskin. Den här koden kan teoretiskt skrivas på ett språk på högre nivå först innan den kompileras om till WASM bytecode-format.

Teamet som utvecklar Rust, en teknik som Mozilla själv har marknadsfört, har infört en femstegs avslöjandeprocess samt 24-timmars e-postbekräftelser för alla felrapporter. Medan deras säkerhetsteam verkar vara ganska litet för tillfället, är det mer än troligt att det liknar det tillvägagångssätt som många nyare applikationsplattformskonsortier kommer att ta när de hanterar den här typen av frågor.

Slutanvändare uppmanas som alltid att installera relevanta uppdateringar för att minska den totala risken för att utveckla sårbarheter relaterade till CPU-baserade utnyttjanden.