La funzione Site Isolation era stata lanciata in Chrome nell’estate 2018, come misura per proteggere i browser desktop dai rischi di attacchi side-channel quali Spectre, falla scoperta insieme a Meltdown all’inizio dello scorso anno e che aveva esposto la vulnerabilità dei processori Intel e di altri marchi, nonché di altri dispositivi hardware e di applicazioni software.
La funzionalità Site Isolation aveva rappresentato un’importante modifica nell’architettura di Chrome: essa limita ogni processo renderer ai documenti di un singolo sito, riducendo i rischi di utilizzo malevolo di risorse cross-site e accessi non autorizzati ai dati condivisi in uno stesso processo. L’introduzione di questa funzione, in un primo momento sul desktop, significava che, anche qualora si fosse verificato un attacco Spectre in una pagina web malevola, i dati di altri siti web generalmente non sarebbero stati caricati nello stesso processo (e quindi resi vulnerabili), riducendo di conseguenza significativamente la minaccia rappresentata da Spectre.
Gli sviluppatori di Google hanno ora annunciato sul blog di Chromium che in Chrome 77 per Android la funzione Site Isolation è attiva anche nell’ambiente mobile, per i siti in cui gli utenti inseriscono password. Inoltre, sempre per quel che riguarda Chrome 77, sulle piattaforme desktop Site Isolation ora aiuta a difendersi dagli attacchi da processi renderer completamente compromessi, non solo dagli attacchi side-channel.
Per ciò che concerne la sicurezza su dispositivi mobili, Chrome 77 mette dunque la Site Isolation e i suoi vantaggi a disposizione degli utenti Android. Come avviene su desktop, ciò rende più difficile per che sferra cyber-attacchi rubare dati da altri siti web. In particolare, offre una difesa più efficace contro le vulnerabilità della CPU del tipo di Spectre.
Affinché questa funzione di sicurezza non influisca negativamente sulla user experience in un ambiente, come quello mobile, dalle risorse limitate, hanno spiegato gli sviluppatori, a differenza delle piattaforme desktop in cui tutti i siti sono isolati, Chrome su Android utilizza una forma più leggera Site Isolation, proteggendo un minor numero di siti per mantenere un overhead basso.
Nello specifico, Site Isolation su Android è attivo solo per i siti ad alto valore, in cui gli utenti effettuano il log-in con una password. Il compromesso previsto da Google fa sì che siano protetti questi siti che richiedono la password, presumibilmente contenenti dati sensibili importanti per gli utenti, come banche o siti di shopping, consentendo al contempo la condivisione dei processi tra siti meno critici.
Una volta che Chrome osserva un’interazione con password su un sito web, le visite future a quel sito saranno protette dal Site Isolation, e il sito sarà elaborato nel proprio processo renderer dedicato, separato da altri siti. La funzione Site Isolation attivata da password di Chrome 77 è stato abilitata, ha informato Google, per il 99% degli utenti (con un holdback dell’1% per monitorare e migliorare le prestazioni) su dispositivi Android che hanno una quantità sufficiente di RAM (attualmente 2 GB).
Gli utenti che desiderano una protezione più completa per i propri dispositivi possono eseguire manualmente l’opt-in al Site Isolation completo tramite chrome://flags/#enable-site-per-process, che isola tutti i siti web ma comporta un peso sulla memoria più elevato.
In futuro, Google prevede di aggiungere il supporto per ulteriori modi di rilevare quando un sito deve essere protetto da questa funzione di sicurezza. Per esempio, l’azienda sta valutando di consentire agli operatori di siti web l’opt-in al Site Isolation, senza richiedere il log-in dell’utente.
Dal punto di vista della sicurezza sulle piattaforme desktop, la funzione di Site Isolation di Chrome 77 aiuta ora a difendersi anche da attacchi significativamente più potenti. Site Isolation ora può gestire anche attacchi gravi in cui il processo renderer è completamente compromesso da un bug di sicurezza, come errori di memory corruption o errori logici Universal Cross-Site Scripting (UXSS).
Dettagli completi sulle nuove funzionalità di sicurezza del browser Chrome sono disponibili sul blog di Chromium.
