O Google não é a única empresa fazendo experiências com a ideia de um sistema operacional baseado em um browser. Em fevereiro, pesquisadores da Microsoft revelaram detalhes sobre o Gazelle. O Gazelle afirma ser uma “construção de um sistema operacional em forma de web browser com paradigma de multi - principals. O kernel do browser Gazelle provê apenas proteção cross - principals e compartilhamento justo dos recursos do sistema.”
Assim como o sistema Chrome que é construído em cima do Linux, o Gazelle não é realmente um sistema operacional. É, na realidade, uma camada que estende o modelo de segurança do browser para o nível do sistema operacional. A ideia chave para este sistema é a de um “principal”, que neste caso é o triplo protocolo, domínio e porta. Cada combinação é isolada de qualquer outra combinação no nível de processo.
Para se proteger de questões como ataques através de cross-site scripting, páginas podem apenas renderizar conteúdo diretamente de um “principal”. Comunicação com outros “principals” é feita via o “Kernel do Browser”. O Kernel do Browser é um processo restrito do sistema escrito em C# que facilita comunicação entre processos. Mensagens baseadas em XML são enviadas entre o Kernel do Browser e os vários processos utilizando named pipes. Conforme cada processo completa sua renderização, os resultados são compostos em uma imagem final para o browser através do Kernel do Browser.
O Gazelle possui inúmeras funcionalidades que resolvem vulnerabilidades específicas de browsers como plugins, HTTP e HTTPS misturado e um “ataque recursivo via mashup”.
Plugins. O Gazelle obriga uma política de “mesma origem” para conteúdo de plugins. Isto é, o conteúdo de plugins roda com o mesmo “principal” da sua origem (e não como o “principal” da página que o está hospedando). Dado que plugins são uma fonte de crescimento rampante de vulnerabilidades, obrigar esta política em plugins no Kernel do Browser é crítico para conter o estrago causado por um ataque. Plugins existentes precisam ser adaptados (portados ou reescritos) para utilizar as chamadas de sistema do Kernel do Browser a fim funcionar neste novo paradigma. Atualmente 34 dos 100 sites mais acessados segundo o ranking Alexa utilizam o plugin Flash e nenhum outro tipo de plugin é utilizado. Isso indica que portar e adaptar somente o Flash já resolve grande parcela do problema de compatibilidade dos plugins.
Inclusão de scripts e arquivos CSS em conexões HTTPS. No Gazelle um “principal” HTTPS não pode incluir um script ou arquivo CSS chamado via HTTP. Outros tipos de conteúdo como imagens e plugins serão executados no processo que pertence ao “principal” que está hospedando o conteúdo. Esta política poderia ser facilmente modificada no Gazelle; entretanto, ao impedir conteúdo HTTPS de incluir scripts e arquivos CSS provisionados por uma conexão HTTP, o Gazelle força um esquema de segurança mais forte contra alguém na rede querendo fazer um ataque. Uma vez que os 100 primeiros sites do ranking Alexa não usam SSL, nós identificamos alguns poucos sites diferentes que provêem sessões SSL para partes de sua aplicação web: amazon.com, mail.google.com, mail.microsoft.com, blogger.com e alguns outros sites mais populares de bancos que estão fora dos 100 mais acessados. Estes sites não violam nossa política.
Navegação apenas de elementos hospedeiros para filhos. Um frame hospedeiro pode apenas causar navegação em seus filhos e não tem nenhum controle sobre frames contidos em alguns dos filhos ou frames de outros “principals”. Sites que tentam navegar em outros descendentes do que nos filhos diretos não poderão fazê-lo no Gazelle. Ao se limitar o escopo da navegação, o Gazelle consegue prevenir que páginas malignas naveguem em frames de páginas benignas. Este tipo de ataque foi analisado por Barth et al. E apresentado como “ataque recursivo via mashup”. Nós fomos incapazes de testar sites com violações desta política automaticamente com nosso framework de teste de compatibilidade.
Este nível de proteção não é barato. Ele pode dobrar o tempo de renderização em páginas complexas como as do nytime.com quando frames de múltiplas origens estão envolvidos. Entretanto, muito disso pode ser minimizado com melhoras na funcionalidade de composição de imagem do Kernel do Browser.
Você pode ler todo o paper da pesquisa e ver uma comparação entre browsers existentes como o Chrome do Google no site do Microsoft Research.