Googleは、セキュリティアップデートの間隔を短縮することで、Chromeブラウザの重大度の高い脆弱性を事前に回避しようとしている。
同ブランドは、より頻繁なアップデートにより、悪意のある攻撃者が Chrome ブラウザのコード内で見つかった n デイおよびゼロデイの欠陥にアクセスして悪用する時間が短縮されることを期待しています。
水曜日の時点で、同ブランドは新しいスケジュールを含む Google Chrome 116 を公開しました。以前は 2 週間ごとに更新されていましたが、今後は Chrome は毎週セキュリティ アップデートを受けることになります。
Chromium のオープンソースの性質により、誰でも Chrome ブラウザのソース コードにアクセスでき、「レビューのために変更を送信し、セキュリティ バグの修正も含め、他の人が加えた変更を確認できる」と Google は セキュリティ ブログ で述べています。
通常、Google のカナリア チャネルとベータ チャネルのコミュニティ メンバーは、安定したアップデートが一般に送信される前に、対処できる安定性、互換性、パフォーマンスに関するさまざまな問題をブランドに通知します。このオープンさには諸刃の刃があります。ただし、悪意のあるユーザーは善意のユーザーと同じアクセス権を持っているため、更新プログラムが広範囲の一般ユーザーに展開される前に、脆弱性に関するリアルタイムの詳細を得ることができます。このような攻撃が悪用されると、「n-day エクスプロイト」と呼ばれます。
このため、Google は、セキュリティ更新の間隔を短縮することで、悪意のあるユーザーが Chromium コードの脆弱性に関する情報を入手するのを阻止できると期待しています。通常、セキュリティ更新の間隔は、公開リリース前のテストに使用されます。 Google がこの問題を最初に認識したのは 2020 年で、アップデート間のパッチ間隔が約 35 日だったときでした。その後、Chrome 77 のリリースに伴い、隔週の更新スケジュールに移行しました。
同ブランドは、この最新のスケジュールでは、n 日間のエクスプロイトをすべて阻止できるわけではないが、さらに最小限に抑えることができると述べています。実際には、セキュリティ更新をより頻繁に行うと、詳細なパスとより多くの開発時間を必要とする悪意のある攻撃者が欠陥を悪用する時間が短縮されます。時間の経過とともに、悪意のある攻撃者がより高速なエクスプロイトを作成する方法を見つける可能性もあります。
また、セキュリティ更新の頻度が最終的にはさらに短縮され、パッチが入手可能になり次第展開される可能性もあります。
Googleは現在、「すべての重大かつ重大度の高いバグが悪用されるかのように」取り組んでいると述べた。
それでも、ブランドは、n-day エクスプロイトをゼロデイ エクスプロイトと同じくらい危険であると考えるようになりました。 ゼロデイ エクスプロイトは 、これまで知られていなかったため、パッチやアップデートで対処できなかった脆弱性です。
Google は最近、ChromeOS 116 リリース時点で ChromeOS に対して個別の Chrome ブラウザのサポート を有効にする計画も発表しました。このアップデートは特に Chromebook に恩恵をもたらし、ネットブックを通常のソフトウェア寿命よりもはるかに長く延長します。 ChromeOS 116 のリリースは 8 月 22 日に予定されています。