Seguro que a lo largo de este año has escuchado hablar de “Meltdown y Spectre”, dos vulnerabilidades que afectan a los procesadores Intel, AMD y ARM y que se pueden usar para todo tipo de actividades poco lícitas. La técnica de Spectre supone un problema también cuando hablamos de navegadores web donde un sitio podría usar ataques similares para robar información como cookies o contraseñas de otro sitio web. Así es cómo Chrome quiere evitarlo.
Cada sitio será independiente.
Desde Chrome 67 el navegador contará con una función de aislamiento tanto para Mac, Windows y Linux como para Chrome OS. Esta función ya era una opción desde la versión 63 de Chrome pero no es hasta ahora y tras pulir numerosos errores cuando pasa a todos los usuarios.
Los principales navegadores luchan a su manera.
Aunque esta función de aislamiento es nueva, los principales navegadores han cambiado también sus configuraciones para luchar contra este problema. El problema reside en la ejecución de JavaScript desde varios sitios web que se realiza dentro de un mismo proceso. En este caso un sitio web podría atacar a otro para conseguir la información privada que desee. Para mitigar este problema, los principales navegadores han cambiado sus configuraciones con el objetivo de hacer que el éxito de dichos ataques sea menos probable. Google por su parte cree que el aislamiento, esta nueva función de la que estamos hablando, es la opción más efectiva.
¿Cómo funciona el aislamiento de sitios web?
Cuando el aislamiento del sitio está habilitado, cada proceso del procesador contiene documentos desde un sitio como máximo. En el caso de los “iframes”, marcos que permiten cargar una web dentro de otra web, cada uno de estos marcos se ejecutará fuera del sitio principal.
Android es el siguiente paso.
Google también ha anunciado que ahora trabajan en llevar esta función de aislamiento a Chrome y que empezará a estar disponible en la versión 68 de la aplicación. Para activarlo en dicha versión solo tendréis que copiar la siguiente dirección web y abrirla desde el navegador de Chrome en vuestro dispositivo Android. Una vez en el menú de configuración, solo tendréis que habilitarlo.
chrome://flags/#enable-site-per-process
Fuente – Google Security Blog