Безопасность

Движок: Chromium, V8, Skia

За 2026 год в Chrome закрыли десятки уязвимостей, связанных с безопасностью памяти, в том числе шесть уязвимостей нулевого дня, которые уже использовались в реальных атаках. Этот код пишем не мы и исправить его не можем; единственная защита здесь — держать движок обновлённым.

Поэтому правило у нас простое: Girginos Browser не выпускается на версии Electron, срок поддержки которой истёк. Electron поддерживает только три последние основные версии, и закрепление версии проверяется перед каждым выпуском. Сейчас используются Electron 44.2.0 и Chromium 152.0.7977.76.

Оболочка: код, который написали мы

Вот архитектурные решения на стороне оболочки:

• Каждая вкладка — отдельный WebContentsView. Содержимое страниц выполняется с sandbox: true, contextIsolation: true и nodeIntegration: false и не получает preload.
• Окно интерфейса тоже работает в песочнице и использует общий сеанс со вкладками, так что и его собственные запросы проходят через блокировщик и несут заголовки DNT.
• Каналы IPC принимаются только из главного фрейма окна интерфейса. Запись настроек проходит проверку ключа и типа.
• Загрузки адресуются по идентификатору; необработанный путь к файлу, пришедший из интерфейса, не открывается никогда.
• Переходы, инициированные страницей, возможны только по http(s) и view-source:http(s). file: и chrome: открываются, только если пользователь сам ввёл их в адресной строке.
• Передача во внешнее приложение ограничена узким списком схем: mailto:, tel:, sms:, magnet:, ftp(s):, webcal:. Одновременно открыто только одно окно подтверждения.
• Непрозрачные источники — те, у которых origin равен null, например data: и about:, — в запросах разрешений отклоняются всегда.
• Проверка орфографии отключена, потому что Chromium скачивает файлы словарей с сервера Google.
• Данные записываются атомарно — через временный файл и переименование.

Векторы атак и меры против них

Подписанная цепочка обновления

Модель угроз исходит из того, что сервер обновлений уже может быть захвачен. Порядок такой:

1. Загружаются подписанный манифест и лежащий рядом файл подписи.
2. Подпись проверяется по сырым байтам манифеста встроенным в приложение открытым ключом Ed25519. Если проверка не проходит, не читается ни одно поле.
3. Применяются проверки версии: откат на более раннюю версию отклоняется; манифест с истёкшим собственным сроком действия отклоняется — это защита от атаки, когда старый манифест раздаётся бесконечно, чтобы заморозить обновления; при необходимости требуется промежуточная версия; адрес загрузки обязан быть https.
4. Версия и хеш пакета, найденные загрузчиком, должны в точности совпадать с указанными в подписанном манифесте.
5. После загрузки хеш sha512 пакета сравнивается с подписанным за постоянное время.
6. Установка начинается только с согласия пользователя.

Если хотя бы один шаг не проходит, обновления не будет. Закрытый ключ никогда не хранится на сервере; даже если сервер захватят, злоумышленник не сможет составить действительный манифест.

Тесты

Выполняются 118 модульных тестов, 73 регрессионных теста по векторам атак и 46 тестов проверки обновления; контракт IPC и DOM между интерфейсом и главным процессом проверяется отдельно. Кроме того, до и после выпуска запускаются сквозные проверочные скрипты — на настоящих сборках и на рабочем сервере.