Mozilla 推出全新沙盒技术 RLBox，关键组件免受零日漏洞威胁-低调大师

Mozilla 推出全新沙盒技术 RLBox，关键组件免受零日漏洞威胁

2021-12-07 566

Mozilla 今天通过其 Mozilla Hacks 博客对外宣布，他们计划为 Firefox 浏览器新增一个名为 RLBox 的新型沙盒技术，该技术是 Mozilla 与加州大学圣地亚哥分校（UCSD）和德克萨斯大学（UT）的研究人员所共同开发的，并将随 Firefox 95 一同推出。Mozilla 表示，RLBox 能够更轻松有效地隔离浏览器的子组件，并为 Mozilla 提供了比传统沙盒技术更多的优势。

沙盒是整个行业广泛使用的技术，浏览器可以在沙盒进程中运行 Web 内容，以尝试阻止恶意或有漏洞的单一站点危及整个浏览器。

RLBox 旨在对第三方库进行沙盒处理，它由一个基于 WebAssembly 的沙盒和一个 API 组成，用于在沙盒库内改进现有的应用程序代码。RLBox 将把沙盒库的内存与应用程序/Firefox 的内存隔离开来。RLBox 与传统方法的另一个不同之处在于，它对性能的影响和内存使用更低，这也使得它有可能对关键的浏览器组件进行沙盒处理。

该技术的原型此前已在 Firefox 74 和 Firefox 75 中分别提供给了 Linux 和 Mac 用户。随着 Firefox 95 的推出，RLBox 将脱离原型阶段并且不再局限于 Linux 和 Mac，RLBox 后续将被部署至所有支持的 Firefox 平台上，包括桌面端和移动端。在即将推出的 Firefox 95 中，RLBox 将率先用于隔离三个不同的模块：Graphite、Hunspell 和 Ogg。在 Firefox 96 中，另外两个模块：Expat 和 Woff2 也将被隔离。

Mozilla 工程师 Bobby Holley 表示：

RLBox 让我们在几个方面都能获得巨大的好处：它能够保护用户不受意外缺陷和供应链攻击的影响，而且它们中的任何一个零日漏洞也不会对 Firefox 构成威胁，也能减少我们仓促应付的情况发生。因此，我们打算在未来将 RLBox 继续应用于更多的组件。虽然有些组件由于太依赖与程序的其他部分共享内存，以及对性能太敏感，并不适合这种方法，但我们已经确定了其他一些良好的候选者。

Mozilla 还一同更新了漏洞悬赏计划，在新的计划中，即使隔离库中没有漏洞，但只要研究人员能够绕过新的沙盒就能获得报酬，这也有助于进一步加强 Firefox 浏览器的安全性。

RLBox 并非只能用于 Firefox 浏览器，Mozilla 还希望其他浏览器和软件项目也能够采用这项技术，从而为用户在更广泛的应用领域带来更高的安全性。如无意外，Firefox 95 将于今天晚些时候正式推出。

微信关注我们

原文链接：https://www.oschina.net/news/172316/mozilla-firefox-rlbox

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

每日一博 | MySQL 索引的坑，谁踩谁知道

索引可以说是数据库中的一个大心脏了，如果说一个数据库少了索引，那么数据库本身存在的意义就不大了，和普通的文件没什么两样。所以说一个好的索引对数据库系统尤其重要，今天来说说MySQL索引，从细节和实际业务的角度看看在MySQL中B+树索引好处，以及我们在使用索引时需要注意的知识点。一、合理利用索引在工作中，我们可能判断数据表中的一个字段是不是需要加索引的最直接办法就是：这个字段会不会经常出现在我们的where条件中。从宏观的角度来说，这样思考没有问题，但是从长远的角度来看，有时可能需要更细致的思考，比如我们是不是不仅仅需要在这个字段上建立一个索引？多个字段的联合索引是不是更好？以一张用户表为例，用户表中的字段可能会有用户的姓名、用户的身份证号、用户的家庭地址等等。 1、普通索引的弊端现在有个需求需要根据用户的身份证号找到用户的姓名，这时候很显然想到的第一个办法就是在id_card上建立一个索引，严格来说是唯一索引，因为身份证号肯定是唯一的，那么当我们执行以下查询的时候： SELECT name FROM user WHERE id_card=xxx 它的流程应该是这样的：先在i...

2021-12-07

516

curl 作者Daniel Stenberg发文解释了不在 curl 添加彩蛋的原因，并表示将来也不会有任何彩蛋。 Daniel 提到了两个关键的因素：信任和安全。他表示，curl 作为一个安装次数接近 100 亿的开源项目，必须保证可靠和专业性，保持 100% 的透明性。而添加彩蛋则违反了 curl 赖以生存的原则，既然现在可以为埋下复活节彩蛋而写出隐藏代码，那以后就有可能隐藏其他东西。关于安全方面，Daniel 表示，curl 中的所有内容都需要仔细检查并进行安全审查。复活节彩蛋也是如此，否则它将是一个不安全的组件，并因此存在安全风险。然而添加代码来执行复活节彩蛋，意味着添加的代码可能会由于复活节彩蛋出乎意料的性质而给用户带来问题。但对于安全和安全程序来说，意外行为不是良好基础。再则，根据定义，复活节彩蛋对许多人来说将是一个秘密或惊喜，它需要以某种方式隐藏或潜入。但 curl 不允许代码或功能“偷偷进入”。如果允许以这种方式添加功能，那就是破坏了既有的规则。除了信任和安全，Daniel 认为所谓的彩蛋只是无用的工作，如果他们合并了复活节彩蛋的代码，后续就会需要改进，其他开发者...

2021-12-07

536

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。