Edge krijgt modus die JIT-engine uitschakelt voor betere beveiliging

Microsoft geeft Edge een zogenaamde "Super Duper Secure"-modus die bepaalde delen van de Javascript-engine kan uitschakelen om de browser veiliger te maken. De ontwikkelaars zeggen dat het een experiment is om te kijken of ze de browser er beter mee kunnen beveiligen.

De nieuwe modus is bedacht door Microsoft's Vulnerability Research-team . Gebruikers die de Super Duper Secure-modus inschakelen, schakelen Just-In-Time-compilatie of JIT uit in de V8 Javascript-engine. Volgens de onderzoekers wordt bijna de helft van de browserkwetsbaarheden in V8 JavaScript en WebAssembly misbruikt via de JIT-engine. Met de nieuwe modus wordt de browser dus naar verwachting veel minder kwetsbaar.

De makers vragen zich af of de extra snelheid die JIT creëert het waard is om de browser zo kwetsbaar te houden. "Voor gebruikers betekent uitschakelen minder frequente beveiligingsupdates en minder noodpatches", zeggen de makers. Ze noemen noodpatches 'een veelvoorkomende frustratie voor gebruikers'. Bovendien zouden er nog andere voordelen zijn aan het uitschakelen van de JIT-engine. Technologieën zoals Intel's Controlflow-Enforcement Technology kunnen bijvoorbeeld worden ingeschakeld. Die op hardware gebaseerde exploit-mitigatietechniek werkt niet goed met JIT, zeggen de ontwikkelaars.

De ontwikkelaars willen de mogelijkheid onderzoeken om JIT uit te schakelen zonder de prestaties veel slechter te maken. In de praktijk blijkt dit prestatieverlies mee te vallen. In een laboratoriumomgeving zou het uitschakelen 'niet altijd een negatief effect hebben'. De ontwikkelaars benadrukken dat dit een test is voor nu, en dat ze graag de ervaring van gebruikers horen. Gebruikers kunnen de vlag handmatig in de browser edge://flags/#edge-enable-super-duper-secure-mode .