Browserisolatie: hoe een digitale quarantainezone het web veiliger maakt
Stel je voor dat een postbode elke brief eerst in een aparte, afgesloten ruimte opent voordat de inhoud aan jou wordt doorgegeven. Alleen een foto van de tekst bereikt je bureau; de envelop zelf, met eventuele besmette lijm of verstopte naald, blijft achter de gesloten deur. Iets vergelijkbaars gebeurt bij browserisolatie, een beveiligingstechniek die steeds vaker opduikt in nieuws over cyberaanvallen en bedrijfsbeveiliging.
Bij browserisolatie draait het bezoeken van websites niet rechtstreeks op de computer van de gebruiker, maar in een afgeschermde omgeving: een virtuele "quarantainezone" op een server of in een apart afgesloten stukje geheugen. Wat de gebruiker op zijn scherm ziet, is niet de website zelf maar een doorgestuurde weergave ervan. Mocht die website kwaadaardige code bevatten, dan blijft die code opgesloten in de isolatieomgeving en bereikt hij nooit de echte computer, het bedrijfsnetwerk of de bestanden van de gebruiker.
Wat is het precies?
Om browserisolatie te begrijpen, helpt het om drie varianten uit elkaar te houden, die vaak door elkaar worden genoemd.
De eerste is sandboxing, letterlijk "zandbak-techniek". Vrijwel elke moderne browser voert onderdelen van een webpagina uit in een streng afgeschermd proces met beperkte rechten, zodat een fout of aanval in dat proces niet meteen de rest van het besturingssysteem kan raken. Dit gebeurt al sinds het begin van moderne browsers als Chrome, lokaal op de computer van de gebruiker zelf.
De tweede variant is site-isolatie: elke website krijgt zijn eigen, apart proces binnen de browser, in plaats van dat meerdere sites hetzelfde proces delen. Zo kan een kwaadaardige site in theorie niet zomaar geheugen van een andere, geopende site (bijvoorbeeld een bankwebsite in een ander tabblad) uitlezen. Google voerde dit in 2018 breed in bij Chrome, mede als reactie op de destijds ontdekte Spectre-kwetsbaarheid, een fundamenteel lek in moderne processors waarmee programma's in theorie geheugen van elkaar konden aflezen.
De derde en meest ingrijpende variant is remote browser isolation (RBI), vaak vertaald als "browserisolatie op afstand". Hierbij draait de volledige browsersessie niet op het apparaat van de gebruiker, maar in een geïsoleerde container of virtuele machine in een datacenter, bij de organisatie zelf of bij een externe leverancier. Alleen een visuele weergave van de pagina, of een opgeschoonde, veilig herbouwde versie van de pagina-inhoud, wordt naar het apparaat van de gebruiker gestuurd. Klikken, scrollen en typen worden teruggestuurd naar de server, die de pagina daar aanpast. De daadwerkelijke website-code, inclusief eventuele scripts, advertenties of verborgen malware, wordt nooit op het apparaat van de gebruiker uitgevoerd.
Voor het overbrengen van het beeld bestaan verschillende technieken. Sommige systemen sturen letterlijk een videostream van pixels door, vergelijkbaar met een scherm dat op afstand wordt bediend. Dat is veilig, maar kan traag aanvoelen en gebruikt veel dataverkeer. Andere systemen, zoals de aanpak die Cloudflare "Network Vector Rendering" noemt, sturen in plaats daarvan lichte tekencommando's (bijvoorbeeld "teken hier een lijn" of "plaats deze tekst") in plaats van kant-en-klare beeldpixels, wat sneller is maar technisch complexer om volledig veilig te implementeren.
Wat wil men ermee bereiken?
Het web is voor beveiligingsteams een lastig te vertrouwen omgeving. Elke website die een medewerker bezoekt, kan in theorie kwaadaardige advertenties tonen (malvertising), phishing-pagina's imiteren, of misbruik maken van een nog onbekend lek in de browser zelf, een zogeheten zero-day-kwetsbaarheid waarvoor nog geen patch beschikbaar is. Traditionele beveiliging zoals virusscanners en filters op bekende kwaadaardige adressen werken pas als een dreiging al bekend is; nieuwe of onbekende aanvallen glippen daar vaak doorheen.
Het idee achter browserisolatie is simpel maar rigoureus: in plaats van te proberen elke bedreiging te herkennen, neem je aan dat elke website potentieel gevaarlijk is en voer je die sowieso uit in een afgeschermde omgeving. Dit past bij een bredere beveiligingsfilosofie die "zero trust" heet: vertrouw standaard niets en niemand, en verifieer en isoleer in plaats daarvan. Zelfs als een aanval slaagt in de isolatieomgeving, blijft de schade daar beperkt tot een wegwerpbare, tijdelijke sessie die na het sluiten van het tabblad simpelweg wordt weggegooid en bij de volgende website opnieuw wordt opgebouwd.
Organisaties gebruiken browserisolatie vooral om medewerkers vrij te laten browsen, inclusief risicovolle categorieën zoals persoonlijke webmail of onbekende links in e-mails, zonder dat dit het bedrijfsnetwerk in gevaar brengt. Voor sectoren zoals de financiële wereld of overheidsinstellingen die met gevoelige informatie werken, is het aantrekkelijk omdat het een extra, structurele beschermingslaag toevoegt bovenop bestaande virusscanners en firewalls.
Voorbeelden uit de praktijk
Menlo Security, opgericht in 2013 in de Verenigde Staten, geldt als een van de pioniers van remote browser isolation als dienst voor bedrijven. Het bedrijf richt zich vrijwel volledig op deze techniek en levert isolatie als clouddienst aan grote organisaties.
Cloudflare voegde browserisolatie toe aan zijn Zero Trust-platform, onderdeel van wat het bedrijf "Cloudflare One" noemt, waarbij gebruik wordt gemaakt van de eerdergenoemde Network Vector Rendering-techniek om de vertraging voor eindgebruikers te beperken.
Google Chrome voerde in 2018, met versie 67, standaard site-isolatie in voor alle gebruikers, na eerdere tests met kleinere groepen. Onderzoekers van Google publiceerden in 2019 op de USENIX Security-conferentie, een gerenommeerde academische bijeenkomst over computerbeveiliging, een uitgebreide technische beschrijving van deze aanpak.
Mozilla Firefox ontwikkelde een vergelijkbaar project genaamd Fission, dat sitegebonden processcheiding aan Firefox toevoegt. Dit werd geleidelijk uitgerold en eind 2021 standaard ingeschakeld voor desktopgebruikers.
Daarnaast bieden gevestigde beveiligingsbedrijven als Zscaler, Skyhigh Security (voorheen onderdeel van McAfee) en Broadcom (via het overgenomen Symantec) vormen van browserisolatie aan als onderdeel van bredere pakketten voor netwerkbeveiliging, vaak verkocht onder de noemer SASE (Secure Access Service Edge), een verzamelterm van onderzoeksbureau Gartner voor cloudgebaseerde, samengevoegde netwerk- en beveiligingsdiensten.
Hoe ver is de techniek?
Lokale sandboxing en site-isolatie zijn inmiddels gemeengoed: vrijwel elke grote browser (Chrome, Firefox, Edge, Safari) past hier een vorm van standaard toe, zonder dat gebruikers er iets van merken. Deze technieken zijn volwassen, breed getest en worden continu verfijnd naarmate nieuwe processorkwetsbaarheden zoals Spectre en latere varianten daarvan aan het licht komen.
Remote browser isolation, de meest verregaande vorm, is technisch werkend en commercieel beschikbaar, maar blijft vooral een zakelijk product voor organisaties met specifieke beveiligingsbehoeften, niet iets wat gewone consumenten thuis gebruiken. De belangrijkste obstakels zijn merkbaar voor gebruikers: extra vertraging (latency) omdat elke muisklik en elk beeld via een server heen en weer moet reizen, hogere kosten voor de benodigde infrastructuur, en problemen met complexe, interactieve content zoals videobellen, animaties of pagina's die technieken gebruiken om geautomatiseerd verkeer te weren, wat een isolatieomgeving soms verkeerd kan classificeren.
Er zijn ook grenzen aan wat browserisolatie oplost. Bestanden die een gebruiker via een geïsoleerde sessie downloadt, moeten alsnog apart worden gecontroleerd voordat ze het echte apparaat bereiken. En omdat organisaties voor isolatie vaak het versleutelde verkeer van medewerkers moeten ontcijferen en opnieuw versleutelen (bekend als TLS-interceptie) om de inhoud te kunnen isoleren en herbouwen, roept dit ook vragen op over de privacy van medewerkers en over nieuwe kwetsbaarheden die zo'n tussenstap zelf kan introduceren.
Wie werken eraan?
Het veld combineert gespecialiseerde beveiligingsbedrijven met de makers van de grote browsers zelf. Aan de kant van browserfabrikanten werken Google (Chrome, Chromium-project), Mozilla (Firefox) en Apple (Safari) voortdurend aan ingebouwde sandboxing en site-isolatie, vaak in reactie op nieuw ontdekte hardware- en softwarekwetsbaarheden.
Op de zakelijke markt voor remote browser isolation zijn Menlo Security, Cloudflare, Zscaler, Skyhigh Security, Broadcom/Symantec, Ericom en Authentic8 (met zijn product Silo) actieve aanbieders, voornamelijk gevestigd in de Verenigde Staten.
Op het gebied van standaarden en beleid speelt het Amerikaanse National Institute of Standards and Technology (NIST) een rol: het beschrijft isolatietechnieken als een van de bouwstenen van een zero trust-architectuur in zijn richtlijnen voor Amerikaanse overheidsinstellingen. Onderzoeksbureau Gartner volgt en categoriseert de markt onder noemers als SASE en Secure Web Gateway, en beïnvloedt daarmee hoe bedrijven wereldwijd hun inkoopbeslissingen op dit gebied nemen. Academisch onderzoek naar de onderliggende technieken, zoals procesisolatie tegen Spectre-achtige aanvallen, wordt onder meer gepubliceerd via conferenties als USENIX Security en het IEEE Symposium on Security and Privacy.