I browser Web già provano a isolare le schede l'una dall'altra. Chrome ha aperto la strada al principio di "un processo per scheda" seguito da altri browser. Questo tipo di isolamento era inteso per maggiore affidabilità rispetto alla sicurezza: quando una scheda si blocca, ad es. a causa di un bug in un plug-in, impedisce anche la morte di tutto il processo del browser.
L'uso di tecniche VM, che si tratti di carceri di livello Unix o di hypervisor in piena regola, può aiutare nel caso in cui una scheda sia sovvertita : attraverso qualche buco di sicurezza, un utente malintenzionato riesce a gestire il proprio codice malevolo nel tuo browser. La VM tenterà quindi di contenere quell'attacco. Si noti che il problema ha conseguenze di vasta portata: ad esempio, un browser Web deve essere in grado di leggere i file locali, al fine di supportare i siti Web che richiedono il caricamento di un file locale. Quando viene applicato l'isolamento completo, la funzionalità viene ridotta.
Se vuoi completa isolamento, consulta il sistema operativo di Qubes : questo è un sistema operativo basato su Linux che lancia una piccola VM per singole applicazioni (o un gruppo di applicazioni) e consente di eseguire più istanze del browser che non possono vedersi.
Il problema, tuttavia, è che di solito non si desidera un isolamento completo e il dirottamento di processo completo ostile è raro. I browser applicano già una sorta di isolamento che non utilizza hypervisor, ma è (solitamente) efficace. I problemi di sicurezza non derivano dall'interruzione di un processo di tabulazione, ma dai canali di comunicazione che vengono mantenuti tra le schede dal browser per implementare le funzionalità richieste. La Politica Same-Origin è un concetto importante che fa parte del problema: il SOP incarna il modello di sicurezza che il le forzature del browser e la maggior parte dei problemi di sicurezza con i browser Web sono dovuti alla confusione con cui sono definiti i limiti SOP.
Per fare un'analogia , considera un muro di mattoni con una porta al suo interno. Usare la tecnologia dell'hypervisor sarebbe come rinforzare il muro e il telaio della porta con l'acciaio. Questo non è male, ma non aiuterà molto se il vero problema è che la porta non è chiusa a chiave. Quando si cerca di rafforzare l'isolamento tra le istanze di navigazione, la cosa veramente difficile è definire esattamente cosa può essere condiviso e cosa non dovrebbe; gli hypervisor operano a un livello inferiore e sono solo strumenti per applicare una politica, ma la politica deve prima essere definita.