思考の道具箱

Security Architecture
http://blog.chromium.org/2008/09/security-architec... より

Wednesday, September 10, 2008

Chromium(GoogleのブラウザChromeのOpensource project)では、ブラウザの機能の一部はセキュリティ的に隔絶されたsandboxの中で実行することによって、悪意有るソフトウェア(malware)からコンピュータを守ります。
sandboxは、攻撃者が脆弱性のバグを突いた後に悪さをした場合の影響を限定します。たとえば、悪意あるwebサイトが自動的にソフトウェアをインストールして、秘密の情報をハードディスクから読み出したりすることなどができないようにします。

Chromiumは主な２つのプロセスにわかれます。ブラウザ本体とページを描画するエンジンです。ブラウザ本体は、特に制限なくコンピュータ上のファイルなどにアクセスできます。ですから、ブラウザへの攻撃の糸口はできるだけ少なく、かつ簡明にする必要があります。
たとえば、ブラウザ本体のプロセスは、ページのHTML構文やJavascriptなどの内容を解釈しようとはしません、それらの負荷のかかる処理（ページレイアウトやJavascriptの実行）を行うのは描画エンジンなのです。

ハードディスクやネットワークへアクセスするには、描画エンジンはブラウザ本体を経由する必要があります。ブラウザ本体は、リクエストされた内容が合法的であるかを確認します。ブラウザは描画エンジンの管理統制者として、描画エンジンが正しく動作しているかをチェックしているともいえます。
このsandboxの仕組だけでは、あらゆる攻撃を防げるわけではありません。例えば、フィッシングやクロスサイトスクリプティングなどには無力です。しかし、パソコンのファイルへのアクセスは防げます。

このアーキテクチャがこれから起こる攻撃に対してどれだけうまく耐えられるか、最近のブラウザの脆弱性について研究してきました。重大な脆弱性（任意のコードが実行されてしまう）のおよそ70％は描画エンジンのところに存在することがわかりました。脆弱性の数というのは、決して良い指標とは言いがたいかもしれませんが、描画エンジンをsandboxに閉じ込めることはセキュリティ面で貢献するといえるのでは無いでしょうか。

詳しくはChromiumのセキュリティアーキテクチャに関する技術レポート(PDF)をご覧下さい.

Posted by Adam Barth, Collin Jackson, and Charlie Reis, Software Engineers