Firefox 95 renforce la sécurité grâce à la sandbox RLBox
Aujourd'hui, la fondation Mozilla va lancer une nouvelle version stable de son navigateur : Firefox 95. Cette nouvelle version intègre une fonctionnalité attendue : RLBox, une nouvelle technologie de sandboxing qui devrait améliorer la sécurité offerte par Firefox.
Il y a plusieurs mois, cette fonctionnalité est rentrée en phase de test dans le cadre d'une version preview. Désormais, elle va occuper la prochaine version stable de Firefox et pour développer cette nouvelle sandbox, les développeurs de Mozilla n'ont pas travaillé seuls. En effet, RLBox a été codéveloppé par Mozilla, mais aussi l'Université de Californie située à San Diego, l'Université du Texas à Austin et l'Université Stanford. Bien qu'intégré à Firefox, RLBox reste un projet autonome (voir le projet sur GitHub) alors il pourrait être exploité par d'autres logiciels par la suite.
La technologie RLBox sépare les bibliothèques tierces et le code natif d'une application en s'appuyant sur WebAssembly. Les premiers modules isolés sont Graphite, Hunspell, Ogg, Expat et Woff2. Si une attaque touche l'une de ces bibliothèques tierces, alors elle sera bloquée par Firefox et RLBox. Grâce à ce mode de fonctionnement, même une vulnérabilité de type zero-day serait bloquée par ce mécanisme de sécurité.
En fait, puisque les modules sont isolés les uns des autres grâce à la sandbox, une vulnérabilité présente dans un module ne peut plus affecter un autre module, pour ensuite agir au niveau du système d'exploitation.
Cela répond à une problématique majeure rencontrée avec la majorité des navigateurs, comme l'explique Bobby Holley sur le site Mozilla : "Tous les principaux navigateurs exécutent le contenu Web dans une sandbox pour isoler les processus, en théorie pour protéger le système d'exploitation contre l'exploitation d'une vulnérabilité contenue dans le navigateur et qui permettrait de compromettre l'ordinateur.
Sur les versions Desktop de Firefox, le navigateur isole chaque site dans un processus différent dans le but de protéger les sites les uns des autres. Malheureusement, les hackers utilisent très souvent la combinaison de deux vulnérabilités : une pour compromettre le processus sandboxé (isolé) contenant le site malveillant, et l'autre pour s'échapper de la sandbox. Pour assurer la sécurité de nos utilisateurs contre les adversaires les mieux armés, nous avons besoin de plusieurs couches de protection.". D'où cette volonté d'isoler les modules du navigateur les uns des autres grâce au sandboxing RLBox.
Firefox 95 avec RLBox sera disponible dans les prochaines heures sur vos machines (puisqu'il sort ce mardi), sur Windows, Linux, macOS, mais aussi Android, iOS et iPadOS. Vous pouvez obtenir plus d'informations sur RLBox en suivant ce lien : Firefox 95 - Annonce officielle.
