Sicherer oder schneller? Microsoft testet "Super Duper Secure Mode" im Browser
Fast die Hälfte aller Sicherheitsfehler in Edge finden im internen Javascript-Compiler statt. In einem Experiment wird der Compiler ersatzlos deaktiviert.
(Bild: DANIEL CONSTANTE/Shutterstock.com)
Der interne Javascript-Compiler verbessert die Performance in Web-Browsern, ist aber immer wieder für Sicherheitsprobleme verantwortlich. Deshalb testete ein Microsoft-Team ihren Edge-Browser ohne diesen Compiler: Und es fällt im Alltag kaum auf.
Der JIT-Compiler (Just-in-Time-Compiler) beschleunigt Javascript-Code nach dem Lesen, indem er ihn in Maschinencode umwandelt und optimiert. Bei der Berechnung von Primzahlen ist Javascript dann fast so schnell wie die Programmiersprache C++. Doch der Compiler brachte auch eine Reihe neuer Bugs mit, die nach einem bestimmten Muster ausgenutzt werden können und für fast die Hälfte der Sicherheitsprobleme im Browser verantwortlich ist.
Ist es das wert?
Mit einer Option lässt sich der JIT-Compiler in der Javascript-Engine V8 der Entwicklerversion von Microsoft Edge abschalten. Dadurch sank in Javascript-Geschwindigkeitstests die Performance um fast 60%. Doch beim täglichen Surfverhalten scheint das nicht groß aufzufallen: "Aus eigener Erfahrung wissen wir, dass Nutzer, die JIT deaktiviert haben, kaum einen Unterschied bei ihrem täglichen Surfen bemerken", schreibt Microsoft in der Analyse.
(Bild: Screenshot)
Das Microsoft-Team testete Webseiten im Normalbetrieb. Jeder Code mit häufigen Wiederholungen wurde langsamer, doch es gab auch positive Auswirkungen. Sie konnten dabei eine durchschnittliche Verbesserung von 15% niedrigeren Stromverbrauch feststellen, was bei Notebooks zu längeren Akkulaufzeiten führt.
Spaßeshalber nannte das Team dieses Experiment Super Duper Secure Mode in Microsoft Edge. In den Versionen Canary, Dev oder Beta kann man ihn aktivieren. Die Option wird auf der internen Seite about:flags bei Super Duper Secure Mode gesetzt.
Weniger Komplexität, verbesserte Sicherheit
Der Versuch, häufige Sicherheitsprobleme bei der Wurzel zu packen, ist nicht neu. Im Anonymisierungs-Browser Tor ist der JIT-Compiler bei der Einstellungen "sicheres" Javascript deaktiviert.
Der Tor-Browser basiert auf Firefox, auch in Firefox kann man den JIT-Compiler abschalten. Auf der Konfigurationsseite in about:config sollten dazu folgende Schalter auf false gesetzt sein: javascript.options.baselinejit, javascript.options.ion und javascript.options.asmjs.
Dieses Spaß-Projekt von Microsoft könnte ein erstes Umdenken einleiten. Statt immer mehr Code für Performance-Verbesserungen hinzuzufügen und dann viele kritische Bugs zu fixen, versucht man eher Funktionen zu entfernen, die für viele Sicherheitsprobleme verantwortlich sind.
(ako)
