Mengapa Kelewatan Kemas Kini Chromium Menjejaskan Keselamatan

Chromium memproses input tidak dipercayai daripada laman, imej, fon, media, skrip, sambungan dan protokol rangkaian. Kotak pasir dan pertahanan lain mengurangkan kesan kecacatan, tetapi tidak menjadikan binaan rentan selamat digunakan selama-lamanya. Panduan kemas kini keselamatan Chromium menyatakan hampir semua kemas kini Chrome mengandungi pembetulan keselamatan dan mengingatkan bahawa kelemahan yang sudah diperbaiki boleh menjadi lebih mudah dieksploitasi pada pemasangan belum ditampal.

Implikasinya untuk setiap pelayar berasaskan Chromium: menyelenggara kod ialah sebahagian daripada menyelenggara produk.

Apa yang sebenarnya diukur oleh kelewatan kemas kini

Orang sering membandingkan tarikh keluaran pelayar turunan dengan tarikh Chrome asal. Itu berguna tetapi tidak lengkap. Pembetulan belum aktif hanya kerana pembekal telah membina atau menerbitkannya.

Garis masa praktikal mempunyai sekurang-kurangnya titik berikut:

Titik semakan	Bukti untuk disimpan
Keluaran asal	Versi, cabang, masa keluaran dan notis keselamatan yang dipantau
Penerimaan ke produk	Komit atau rekod kesetaraan tampalan yang menunjukkan perubahan diambil
Calon siap	Binaan boleh dihasilkan semula, ujian automatik dan keputusan regresi keselamatan
Keluaran dibenarkan	Metadata bertandatangan, hash artifak, tandatangan platform dan kelulusan
Artifak tersedia	Penerbitan berjaya pada setiap saluran disokong
Dipasang pada peranti	Keputusan pemasangan disahkan mengikut versi dan platform
Binaan diperbaiki aktif	Mula semula pelayar atau penggantian proses disahkan

Tempoh pendedahan peranti tamat pada baris terakhir, bukan pertama. Jika kemas kini dimuat turun Selasa tetapi proses rentan berjalan hingga Jumaat, peranti itu masih mempunyai tiga hari kelewatan berkesan.

Ini menghasilkan tiga ukuran berasingan:

1. Kelewatan pembekal: dari keluaran asal berkaitan hingga artifak produk bertandatangan.
2. Kelewatan penghantaran: dari penerbitan produk hingga pemasangan berjaya.
3. Kelewatan pengaktifan: dari pemasangan sedia hingga pelayar diperbaiki menjadi proses aktif.

Laporkan ketiga-tiganya. Satu purata boleh menyembunyikan saluran tersangkut, kegagalan tandatangan satu platform atau kumpulan peranti yang tidak pernah dimulakan semula.

Mengapa masa lebih berbahaya selepas pembetulan diterbitkan

Nota keselamatan tidak serta-merta mendedahkan semua butiran. Chromium menyatakan butiran pepijat mungkin dihadkan sehingga pembetulan sampai kepada kebanyakan pengguna, dan soalan lazim keselamatannya menerangkan banyak laporan dibuka kemudian. Pendedahan terselaras mengurangkan risiko tidak perlu, tetapi bukan kerahsiaan kekal.

Selepas tampalan awam, penyelidik dan penyerang boleh membandingkan kod lama serta baharu, memeriksa ujian, perubahan tingkah laku dan metadata keluaran. Chromium menyebut serangan terhadap pemasangan lama selepas pembetulan sebagai eksploitasi n-day. Panduan pelayar berasaskan Chromium mencadangkan keluaran dalam beberapa hari selepas setiap Chrome Stable, bukan menunggu kitaran ciri bulanan berasingan.

Arkib Chrome Releases menunjukkan mengapa dasar versi utama sahaja tidak mencukupi. Kemas kini Stable antara versi utama membawa pembetulan, dan sesetengah butiran kekal terhad semasa pengedaran. Pembekal yang memantau pertukaran cabang utama sahaja boleh terlepas pembetulan pada cabang stabil semasa.

Nombor versi ialah petunjuk, bukan bukti lengkap

Versi Chromium memberikan petunjuk awal kukuh tentang cabang asal dan tahap tampalan. Namun ia tidak menjawab semua soalan.

Pelayar turunan mungkin:

• memakai label versi baharu tetapi meninggalkan tampalan keselamatan;
• menggunakan cabang lama dengan pembetulan yang dipindahkan dan didokumenkan;
• mempunyai pembetulan dalam sumber tetapi gagal menghantarnya ke satu platform;
• memasang fail baharu sementara proses lama masih berjalan; atau
• kembali ke binaan yang menghidupkan semula kelemahan.

Pembetulan pada cabang lama memerlukan rekod kesetaraan yang menghubungkan pembetulan asal dengan perubahan produk dan ujian. Chromium mengingatkan bahawa sesetengah penambahbaikan bergantung pada perubahan seni bina dan tidak boleh dipindahkan dengan mudah. Nota keluaran juga bukan senarai keutamaan lengkap. Soalan lazim kemas kini keselamatan Chrome mencadangkan menerima kemas kini keseluruhan, bukan menunggu penilaian kelemahan yang diterangkan secara awam sahaja.

Jadi jangan hanya tanya ‘Versi Chromium mana?’ Tanya ‘Keluaran keselamatan asal mana diliputi binaan ini, dan bagaimana liputan disahkan pada platform saya?’

Di mana kelewatan terkumpul

Inventori tampalan besar

Setiap perubahan mendalam kepada Chromium mencipta kerja penggabungan masa depan. Ia mungkin bertembung dengan penstrukturan semula asal, bergantung pada antara muka dibuang atau membatalkan ujian. Kos itu berulang setiap pembetulan keselamatan. Inventori tampalan kecil yang disemak memberi pasukan lebih ruang menerima perubahan mendesak.

Bilangan tampalan sahaja tidak mencukupi. Satu perubahan perkhidmatan rangkaian boleh lebih sukar diselenggara daripada banyak perubahan penjenamaan terasing. Jejaki pemilik, sempadan keselamatan terjejas, konflik, ujian dan syarat menamatkan setiap tampalan produk.

Ujian bermula terlalu lewat

Keselamatan dan keserasian patut berkongsi proses keluaran tetap. Memulakan ujian ad hoc selepas notis mendesak menambah kelewatan yang boleh dielak serta mendorong pengecualian tidak selamat.

Proses diselenggara menyediakan ujian pelayar, profil, sambungan, proksi, kemas kini, kembali versi dan pemulihan untuk setiap calon. Kumpulan kecil sebelum Stable boleh mengesan perubahan keserasian lebih awal. Panduan kemas kini perusahaan Google membezakan perkara sama: ujian berperingkat boleh berjalan bersama kemas kini automatik, tetapi kemas kini tertunda masih perlu pelayar dilancarkan semula.

Kegagalan tandatangan dan penerbitan

Binari terkompil bukan kemas kini sedia terbit. Tandatangan platform, pengesahan notarization jika berkenaan, metadata, hash dan manifes saluran ialah sebahagian daripada sempadan keselamatan. Jika salah satu tiada atau tidak konsisten, pengguna mungkin kekal pada versi lama atau menerima artifak tanpa kebenaran.

Reka bentuk pengemas kini Chromium merangkumi pemulihan pengemas kini rosak atau terlalu lama. Pelayar turunan memerlukan bukti setara: artifak disahkan, pemulihan sendiri, pemulihan kemas kini terputus dan cara menghentikan keluaran buruk tanpa kehilangan keupayaan menghantar pembetulan berikutnya.

Pengedaran yang tidak pernah selesai

Pengedaran berperingkat mengawal regresi, tetapi peringkat bukan destinasi. Setiap pelaksanaan memerlukan syarat kemajuan jelas, masa maksimum menunggu, pemilik keputusan henti dan keterlihatan peranti rentan yang masih tinggal.

Kembali ke versi terdahulu memerlukan penjagaan sama. Binaan yang berfungsi tetapi rentan mungkin memulihkan ketersediaan sambil membuka semula jurang diketahui. Rekod keluaran patut menyatakan akibat itu dan mencetuskan binaan ganti, bukan menganggap pemulihan versi selesai begitu sahaja.

Kegagalan yang wajar diuji

Program kemas kini patut menguji keadaan berikut sebelum keluaran mendesak bergantung padanya:

• notis keselamatan tiba di luar waktu kerja;
• cabang asal berubah semasa calon disediakan;
• tampalan produk bertembung dengan pembetulan keselamatan;
• calon lulus ujian unit tetapi merosakkan profil selepas pelancaran semula;
• tandatangan berjaya pada satu platform dan gagal pada yang lain;
• versi metadata dan artifak tidak sepadan;
• muat turun terputus atau storan penuh;
• pelayar kekal terbuka berhari-hari selepas kemas kini disediakan;
• pengedaran dihentikan dengan peranti pada dua binaan rentan berbeza;
• pengemas kini perlu pulih daripada pemasangan lama; dan
• kembali versi memulihkan pelancaran tetapi turut mengembalikan kelemahan ditampal.

Ujian ini menghubungkan keselamatan dengan pemulihan. Terbit segera tanpa memeriksa integriti profil boleh menghilangkan data. Menangguh tanpa proses terhad dan boleh diperhatikan memanjangkan pendedahan. Mutu memerlukan sistem keluaran yang boleh melakukan kedua-duanya di bawah tekanan.

Ukuran yang menunjukkan tempoh pendedahan sebenar

NIST menganggap pengurusan tampalan penyelenggaraan pencegahan dalam SP 800-40 Semakan 4. Untuk pelayar, bukti berguna termasuk:

• masa penerbitan asal hingga dikesan pasukan produk;
• masa pengesanan hingga calon bertandatangan;
• masa kelulusan hingga tersedia dalam setiap saluran;
• liputan versi diperbaiki yang aktif pada selang ditetapkan;
• median, persentil ke-95 dan kelewatan maksimum peranti;
• kadar kegagalan muat turun, pengesahan, pemasangan dan mula semula;
• jumlah serta umur peranti yang menunggu mula semula;
• status kesetaraan setiap pembetulan dipindahkan;
• sebab, tempoh dan populasi terjejas bagi hentian atau kembali versi; dan
• kejayaan pemulihan pengemas kini dari versi dipasang paling lama yang disokong.

Terbitkan kaedah ukuran bersama sasaran. Nyatakan peristiwa mula dan tamat, platform termasuk, cara peranti luar talian dikira dan sama ada angka sasaran atau hasil diperhatikan. Tanpa takrif itu, ‘kemas kini dalam 24 jam’ boleh bermaksud penggabungan sumber, muat turun diterbitkan atau hampir semua peranti sudah aktif.

Soalan untuk pembekal pelayar Chromium

1. Cabang stabil dan lanjutan mana disokong, dan setiap binaan mengikut yang mana?
2. Siapa memantau pembetulan asal termasuk keluaran tidak dirancang?
3. Berapa hari daripada lima keluaran keselamatan terakhir hingga artifak produk bertandatangan?
4. Berapa peratus peranti disokong menjalankan setiap binaan diperbaiki selepas 24, 48 dan 72 jam?
5. Bagaimana pembetulan dipetakan apabila nombor versi berbeza?
6. Ujian mana meliputi kotak pasir, profil, sambungan, proksi, kemas kini dan pemulihan?
7. Bolehkah pengemas kini gagal membaiki dirinya tanpa artifak tidak disahkan?
8. Apa berlaku kepada kemas kini keselamatan tertunda jika pelayar kekal terbuka?
9. Bagaimana kembali versi mengelakkan kelemahan diketahui muncul semula?
10. Hasil kelewatan mana sudah diukur dan mana masih sasaran?

Pembekal boleh menyimpan butiran kelemahan sensitif secara sulit. Namun ia patut dapat menunjukkan proses, liputan versi, rekod bertandatangan, data kegagalan dan ukuran berskop jelas.

Apa yang tidak dibuktikan oleh kemas kini pantas

Kemas kini pantas tidak membuktikan pelayar selamat dalam semua aspek. Tampalan produk boleh menambah kelemahan. Sambungan tidak selamat, OS terjejas, kawalan tandatangan lemah, import berbahaya atau kotak pasir dimatikan boleh menjejaskan enjin terkini. Kesegaran kemas kini ialah satu lapisan perlu dalam model lebih besar.

Sebaliknya, penjenamaan, tetapan privasi dan pengasingan profil tidak menggantikan enjin yang sudah lama. Kandungan laman memasuki permukaan serangan Chromium sebelum perbezaan produk itu dapat membantu.