IE8 security: DEP/NX abilitato by default

Lo scorso evento dell'RSA Conference 2008 è stata anche l'occasione per incominciare a rilasciare qualche dettaglio sulle novità di sicurezza di Internet Explorer 8, che indirizzeranno principalmente la mitigazione del rischio in tre ambiti specifici di attacco: social engineering, vulnerabilità lato Web server e vulnerabilità lato browser.

Il primo dettaglio di cui ha trattato Eric Lawrence sul blog di IE è stata proprio la funzionalità di Data Execution Prevention (anche nota come No Execute).

Questa funzionalità era stata introdotta con il Service Pack 2 di Windows XP per poter bloccare una serie di attacchi diretti allo sfruttamento di vulnerabilità di tipo Buffer Overrun. Grazie all'uso di microprocessori che supportano questa funzionalità (credo che ormai lo siano quasi tutti) si riesce a impedire che un codice non autorizzato venga eseguito da una zona di memoria che sia stata marcata come adibita alla sola memorizzazione di dati, bloccando così il meccanismo alla base dell'efficacia di questo tipo di attacchi. Funzionalità egregia, se non fosse che in quel momento non è stato possibile "costringere" tutte le applicazioni ad utilizzarla per ovvi problemi di compatibilità applicativa. Così a partire da Windows XP SP2 in poi l'approccio è stato di tipo opt-in: le applicazioni che desiderano utilizzare il DEP lo dichiarano esplicitamente, altrimenti l'impostazione predefinita è di avere il DEP disabilitato. Risultato: funzionalità potente che potrebbe quasi azzerare i problemi di buffer overrun ed è stata tenuta praticamente spenta!!!

Grazie alla realizzazione di nuove API per il DEP/NX è stato possibile ridurre l'impatto dei problemi di compatibilità applicativa ed ora si è riusciti ad abilitare il DEP/NX per IE8 su Windows Vista SP1 e Windows Server 2008, con l'importante particolarità che i vantaggi di questa funzionalità protettiva ricadono anche su tutti gli add-on che IE carica, estendendo quindi la protezione anche sul software di terze parti.

Trovate gli altri dettagli più tecnici nel post che vi ho citato.

Share this post :

Comment Notification

If you would like to receive an email when updates are made to this post, please register here

Subscribe to this post's comments using RSS