Bytecode Alliance förder WebAssembly

Bytecode Alliance gegründet: Sicherer Code mit WebAssembly auf allen Plattformen?
Keine Kommentare

WebAssembly könnte in Zukunft auch außerhalb des Browsers eine große Rolle spielen. Die neu gegründete Bytecode Alliance von Mozilla, Fastly, Intel und Red Hat hat sich darum zum Ziel gesetzt, insbesondere die Sicherheit von Code auf allen Plattformen mit WebAssembly zu fördern.

Die neu gegründete Bytecode Alliance von Mozilla, Fastly, Intel und Red Hat will ein sicheres WebAssembly-Ökosystem außerhalb des Browsers fördern. Mit WebAssembly, so erklären die Gründungsmitglieder der Alliance, bestehe eine Chance darauf, einige der grundlegenden Probleme in der Sicherheit von Software auszuräumen. So könne mit dem neuen Standard eine Möglichkeit geschaffen werden, Packages aus Registries so zu isolieren, dass die derzeit möglichen Angriffe ausgeschlossen werden.

Code von npm: Mehr Sicherheit mit WebAssembly?

In der Softwareentwicklung werden heute große Mengen an Code verwendet, die über Package Registries wie npm, Crates.io oder PyPl bezogen werden. Zahlreiche dieser Packages werden jedoch von Einzelpersonen verfügbar gemacht; trotz Security-Checks auf den Plattformen wurden in jüngerer Vergangenheit mehrere Angriffe beispielsweise auf Bitcoin-Wallets bekannt, die von Packages auf npm ausgingen. Die große Menge an Packages auf npm und anderen Registries erschwert es, umfassende Sicherheitsfunktionen zu implementieren, die alle denkbaren Arten von Schadcode auf den Plattformen erkennen. Derzeit können solche Packages weitreichende Zugriffsrechte lokal oder im Netz erlangen und dennoch über große Zeiträume unerkannt bleiben.

Hier möchte die Bytecode Alliance ansetzen. Das Ziel der Gruppe lautet nicht, die Verwendung von Packages einzuschränken. Vielmehr soll die Nutzung solcher Ressourcen durch den Einsatz von WebAssembly sicherer werden. Zu den Plattformen, die die Alliance sicherer machen möchte, gehören Desktop-Systeme genau so wie Cloud-Infrastrukturen und IoT-Geräte. Das Konzept dahinter beruht auf einer Architektur aus Nanoprozessen, die in einer Sandbox laufen und nur die notwendigen Zugriffsrechte erhalten. Will ein WebAssembly-Modul im Rahmen solcher Nanoprozesse Zugriff auf weitere APIs oder Ressourcen erlangen, muss dies aktiv genehmigt werden. So sollen beispielsweise die vorgenannten Angriffe auf Bitcoin-Wallets verhindert werden, da die dazu nötige Kommunikation nicht mehr unbemerkt im Hintergrund erfolgen kann. Auch bei Schwachstellen im Code sei es grundsätzlich unwahrscheinlich, dass diese tatsächlich unter Verwendung derselben APIs und Ressourcen ausgenutzt werden können, die ein Package tatsächlich benötige, wie die Alliance erklärt.

Bytecode Alliance: Die Projekte

Derzeit umfasst die Bytecode Alliance acht Projekte für die Ausführung von WebAssembly außerhalb des Webs. Dazu gehören die Runtimes Wasmtime, Lucet und WebAssembly Micro Runtime. Auch die Runtime-Komponenten Cranelift und WASI Common sind Teil der Alliance-Projekte, genau wie die Sprach-Tools cargo-wasi, wat und wasmparser.

Eine umfassende Einführung in die Idee der Foundation zur Etablierung von Nanoprozessen mit WebAssembly-Modulen gibt Lin Clark im Mozilla Hacks Blog.

Unsere Redaktion empfiehlt:

Relevante Beiträge

Hinterlasse einen Kommentar

Hinterlasse den ersten Kommentar!

avatar
400
  Subscribe  
Benachrichtige mich zu:
X
- Gib Deinen Standort ein -
- or -