Microsoft schottet Edge & Co. ab Redstone 2 noch viel weiter ab

Microsoft wird seinen Edge-Browser zukünftig in ein neues Korsett hüllen. Der Browser soll in einer eigenen virtuellen Maschine laufen und dadurch noch stärker vom Rest des Systems abgeschottet sein, als es in der bisherigen Sandbox der Fall ist. Die Angelegenheit ist Bestandteil des neuen Sicherheits-Konzeptes, das Microsoft derzeit mit dem Windows Defender Application Guard entwickelt. Dieser soll demnächst in eine größere Testphase gehen und wohl auch andere Anwendungen, die mit dem Netz kommunizieren, abschotten. Auf jeden Fall wird aber Edge mit dem kommenden Major-Update für Windows 10, das aktuell als Redstone 2 bezeichnet wird, über das Verfahren abgesichert.

Schon bei der aktuellen Credential Guard-Sandbox, in der Edge steckt, handelt es sich um eine sehr rudimentäre virtuelle Maschine, die kritische Prozesse vom Rest des Systems trennt. Application Guard wird hingegen deutlich weiter gehen und den größten Teil der Codes des Browsers in einer eigenen Umgebung laufen lassen. Im Inneren der virtuellen Maschine läuft dann faktisch ein eigens angepasstes Kern-Windows, das nur die Features bereitstellt, die der Browser für seinen Betrieb benötigt, berichtete Ars Technica.

Gegenüber der aktuellen Sandbox werden die Dämme zum übrigen System damit noch einmal deutlich erhöht. Edge kann dann weder andere Prozesse sehen, die auf dem Host-System laufen, nicht direkt auf den lokalen Speicher zugreifen, nicht auf installierte Anwendungen zugreifen - und vor allem auch nicht auf den Host-Kernel. Sollten Angreifer also doch einmal Schadcode durch eine Sicherheitslücke im Browser bringen, hat diese nur schlechte Chancen, auf das eigentliche System zu gelangen.

Feinkörniger Zugang

Anfangs wird die Application Guard-VM ausschließlich in der Enterprise-Edition von Windows 10 zur Verfügung stehen. Hier gibt es dann verschiedene Administrations-Tools, um mögliche Probleme zu vermeiden. So können Admins beispielsweise vertrauenswürdige Seiten auf eine White-List setzen, die dann auch in einer Browser-Instanz außerhalb der virtuellen Maschine ausgeführt werden. Das soll eventuelle Probleme bei der Ausführung von geschäftskritischen Web-Applikationen im Intranet verhindern. Weiterhin kann detailliert kontrolliert werden, von welchen externen Webseiten Inhalte in die Zwischenablage oder an den Drucker geschickt werden dürfen.

Grundsätzlich soll Application Guard zukünftig auch in anderen Windows-Ausgaben und für andere Anwendungen zu Verfügung stehen. Allerdings dürften die Microsoft-Entwickler hier noch einiges an Aufwand in eine Administrations-Umgebung stecken müssen, die auch von unerfahrenen Anwendern sinnvoll bedient werden kann.