Sandbox w Firefoksie

[dexter]

W 2026 roku Firefox osiągnął poziom izolacji procesów (tzw. sandboxingu), który dorównuje standardom przeglądarek opartych na Chromium.

Jeżeli ostatnio otworzyliście about:support, mogliście zauważyć taką tablicę:
Piaskownica
Poziom separacji procesów treści : 9
Efektywny poziom separacji procesów treści : 9
Stan blokady Win32k dla procesów treści : Win32k Lockdown enabled -- default value is true
Poziom separacji procesu GPU 2

Co oznacza "Content Process Sandbox Level 9"?
To poziom zabezpieczeń dla procesów odpowiedzialnych za wyświetlanie stron.

Poziom 9 oznacza bardzo restrykcyjne ograniczenia. Oto najważniejsze elementy:

1. Blokada Win32k
   Win32k to część systemu Windows odpowiedzialna za grafikę i interfejs. Historycznie była często wykorzystywana do ataków. Na poziomie 9 Firefox niemal całkowicie blokuje dostęp do tych funkcji.
   
2. Zero-Trust File System - brak dostępu do Twoich plików
   Proces wyświetlający stronę:
   
   • nie widzi Twoich dokumentów, zdjęć ani katalogów
   • ma dostęp tylko do tego, co absolutnie konieczne
3. Izolacja bibliotek (DLL)
   Firefox blokuje ładowanie nieautoryzowanych bibliotek (np. DLL w Windowsie).
4. GPU Sandbox Level 2
   GPU (karta graficzna) to częsty cel ataków, bo sterowniki bywają podatne na błędy.
   
   Na poziomie 2:
   
   • proces GPU jest odizolowany od systemu
   • nawet jeśli ktoś znajdzie błąd w sterowniku, nie ucieknie poza sandbox

Warto podkreślić, że podczas ostatniego konkursu Pwn2Own, badacze zademonstrowali dwa nowe exploity wymierzone w procesy treści Firefoksa.

Żaden z tych ataków nie zdołał wydostać się z sandboxa, co jest niezbędne, aby przejąć kontrolę nad systemem użytkownika.

[dexter]

Security-driven Rapid Release - Pwn2Own Documentary (Part 4)

[krystian3w]

W sumie nawet 115 z "wyłączaniem" piaskownicy miała poziom 6, a forki dla 7 z tą samą blokadą dają 7 i błąd Win32k Lockdown disabled -- Operating system not supported (raczej forki nie dodadzą eksperymentalnego wsparcia). Na Windows 10/11 nie używam nic typu uc.js, co dawniej robiły np. dodatki.

Kod: Zaznacz cały

pref("general.config.obscure_value", 0);
pref("general.config.filename", "config.js");
pref("general.config.sandbox_enabled", false);

Chyba że poziom poniżej 8 to już be... (podobno preferencja już nie rozbraja całości i 6 daje jakąś ochronę).