AselBrowser adversarial güvenlik incelemesi

Düzeltilenler

İkisi de yüksek önemli, ikisi de çökme. İkisi de bu incelemede bulundu, düzeltildi ve regresyon testiyle mühürlendi.

panicked at userspace/asel_browser/src/lib.rs:991:44:
end byte index 2 is not a char boundary; it is inside '€' (bytes 0..3 of string)

thread '<unknown>' has overflowed its stack
fatal runtime error: stack overflow, aborting   (SIGABRT)

Tarayıcı kabuğu turunda eklenen kontroller

Telefon imajına sekme şeridi, adres çubuğu, ekran klavyesi, menü ve ayarlar eklendi. Kullanıcı girdisi ilk kez motorun ağacına giriyor; aşağıdakiler bu yüzeyin kontrolleridir ve her biri kalıcı testlidir.

• Adres çubuğu girdisi hata sayfasına markup enjekte edemiyor

  Bir adres açılamadığında hata sayfası o adresi kendi gövdesine yazıyor; yani kullanıcı girdisi doğrudan motorun ayrıştıracağı belgeye giriyor. Adres artık sayfaya girmeden önce markup anlamından arındırılıyor. Test, '<script>x</script>' adresinin ürettiği yerleşim kutusu sayısının temiz bir hata sayfasınınkiyle birebir aynı kaldığını ölçüyor: enjekte edilen bir eleman ağacı büyütseydi bu sayı değişirdi.

  an_address_can_never_inject_markup_into_the_error_page
  Kodu gösteraddress injection
• Adres tamponu ASCII dışı baytı ve kontrol karakterini kabul etmiyor

  Klavyeden gelen her bayt sabit boyutlu bir tamponda tutuluyor; ASCII olmayan ve 0x20 altındaki baytlar reddediliyor. Tampon her zaman geçerli UTF-8 kalır, dolayısıyla adres metni bir dilimleme paniği üretemez — düzeltilen ilk çökmenin sınıfı tam olarak buydu.

  kernel/src/ui/browser.rs · UrlBuf::push
  Kodu gösterUrlBuf::push
• Tarayıcı durumu büyüyen bir tahsis tutmuyor

  Sekmeler (en çok üç), geçmiş yığını (sekme başına üç) ve adres tamponu sabit dizilerdedir. Bir sayfa açmak, sekme açmak veya adres yazmak çekirdek heap'inde sınırsız büyüyebilen bir yapı üretmez.

  tabs_open_switch_and_close · sabit dizi sınırı testli
  Kodu göstertabs
• Ağ reddi metin değil, o karede çalıştırılan denetimin sonucu

  Adres çubuğuna bir internet adresi yazıldığında tarayıcı sahte sayfa üretmez: NavigationPolicy gerçekten çağrılır ve dönen hatanın adı hata sayfasına yazılır. Ağ yeteneği verilmediği için sonuç her zaman MissingCapability(NetworkBrokerIpc)'tir.

  typing_an_internet_address_produces_the_real_engine_refusal
  Kodu gösternetwork refusal
• İki yerleşim kusuru kapatıldı

  Kapsayıcı kutu çocuklarını içermiyordu (arka plan çocukların üstünde asılı boş şerit) ve kapsayıcı çocuklarının metnini taşıyordu (aynı cümle iki kez çiziliyordu). İkisi de telefonda görüldüğü için bulundu, kaynağa bakılarak değil; ikisi de birim testiyle kapatıldı.

  a_block_box_contains_its_children · a_container_does_not_repeat_its_children_text
  Kodu gösterlayout tests

Üretildi, düzeltilmedi

Hepsi yeniden üretildi. Düzeltilmemelerinin sebebi teknik değil: aktif olarak yazılan API yüzeylerinde duruyorlar ve koordinasyonsuz yeniden tasarlanmaları doğru olmazdı. Motor bugün hiçbir cihazda çalışmıyor; bunlar bir üretim sisteminin açıkları değil, EL0'a geçmeden kapatılması gereken sözleşme boşluklarıdır.

1. 01Present tanımlayıcısı verilen DMA penceresini bilmiyor: 720×1280 panel için 4096×4096 / 64 MiB'lık bir tanımlayıcı hem tarayıcı hem çekirdek doğrulayıcısından geçiyor. Doğrulama kendi içinde tutarlı geometri kontrolü yapıyor, ama tanımlayıcıyı ne panele ne de sürece verilmiş pencereye bağlıyor.
2. 02Fail-closed yalnızca sözleşmeyle: ScanoutDescriptor ve PresentFrame alanları tümüyle public; sıfır yetenekle bir PresentFrame kurulabiliyor.
3. 03RenderProcess::spawn dma_base'i doğrulamıyor; dokümantasyon sıfır olmayan ve 64 bayt hizalı taban zorunlu derken spawn(0x0) ve spawn(0x1) Ok dönüyor.
4. 04u32::MAX × 1 viewport 902 ms'de Ok dönüyor ve 12.836.782.080 bayt yerleşik bellek tüketiyor: taşma sınırlanıyor, boyut sınırlanmıyor.
5. 05Tokenizer tırnak-farkındalı değil: alıntılı bir HTML özniteliği için doğru kaçışlanmış metin yine de eleman enjekte ediyor.
6. 06decode_entities çift çözüyor: kaynak dört harfli &amp;lt; dizisini yazmışken motor tek karakter üretiyor.
7. 07Stylesheet::parse'ta uzunluk kapısı yok (HTML'in aksine): 8 MiB girdi 83,8 MB RSS. Ayrıca max_css_rules kuralları sınırlıyor ama bildirimleri sınırlamıyor.

Temiz sonuçlar

Bunlar da bulgudur ve kapsamlarıyla birlikte kaydedilmiştir. Arandı, bulunamadı.

• URL şema politikası 19 düşmanca URL'de fail-closed: http, file, blob, javascript, büyük harf HTTPS, baştaki boşluk, gömülü NUL — hepsi reddedildi.
• Parse/style/layout/raster'da başka panik sınıfı yok: 700.000 fuzz sayfası, parse_color dışında sıfır panik.
• Tokenizer yinelemeli; 5.000.000 derinlik ayrıştırılıyor.
• Kaynak tüketimi DoS'u bulunamadı: ölçülen en kötü 21,76 ms (370 derinlik, 28 KB), taban 279 µs.
• Raster'ın tek denetimsiz dilim indeksi 1.000.000 düşmanca dikdörtgende sıfır panik verdi.
• RGB565 → XRGB8888 genişlemesi uçlarda doğru; bayt tamponu her zaman tanımlayıcının vaat ettiği uzunlukta.
• asel_browser sıfır bağımlılık iddiası manifest, lockfile ve yapı grafiğinde doğrulandı.
• Depoda kimlik bilgisi yok: 4141 izlenen dosya tarandı; .env izlenmiyor ve geçmişte de yok.
• 25 cihaz fotoğrafında GPS koordinatı veya kamera seri numarası yok; ayrıştırıcı pozitif kontrolle doğrulandı.
• npm audit (production ve tam): 0 zafiyet.

Tedarik zinciri ve gizlilik

• KAPANDI: spin 0.9.8 crates.io'dan geri çekilmişti ve çekirdek onu pinliyordu. Çekirdek artık 0.9.9 pinliyor — aynı 0.9 Mutex/RwLock API, 2026-07-13 yank'ından sonraki yeniden yayımlanan 0.9 hattı.
• KAPANDI: RUSTSEC-2026-0190 (anyhow Error::downcast_mut() unsound) lockfile'da 1.0.102 olarak duruyordu. Lockfile 1.0.104'e alındı (yama >=1.0.103). cargo audit --deny warnings 0; cargo deny check advisories/bans/sources/licenses 0.
• KAPANDI (kısmen): Yayımlanan sitede hiçbir güvenlik başlığı yoktu; tek kural bir Cache-Control satırıydı. Artık X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Strict-Transport-Security ve Cross-Origin-Opener-Policy tanımlı. CSP şimdilik Report-Only: sayfa Tailwind ve Font Awesome'ı CDN'den çektiği için zorlayıcı politikaya rapor akışıyla doğrulandıktan sonra geçilecek.
• Cihaz donanım kimlikleri izlenen evidence dosyalarında duruyor (Debug Probe USB seri numarası ve bir microSD CID). Kaldırılması operatör kararıdır.

cargo test -p asel_browser                                    22/22
cargo test -p aselsan_microkernel_simulation \
  --test asel_browser_scanout_contract                          5/5
cargo test -p aselsan_microkernel_simulation \
  --test rpi5_ios_home_browser                                17/17
cargo check -p asel_browser --no-default-features             geçer