クロスオリジン分離

2018年以降、すべてのブラウザでSharedArrayBufferが無効化され、タイマーの精度も落とされた。共有メモリと正確な時計の組み合わせは、本来届かないはずのメモリを読むサイドチャネル攻撃にまさに必要なものだからである。とはいえ、スレッド対応のコードをウェブ向けにコンパイルするには欠かせない機能だ。そこで出てきたのが任意参加の分離で、Cross-Origin-Opener-Policy: same-originを付けるとドキュメントは外部のコンテンツとプロセスを共有せず、Cross-Origin-Embedder-Policy: require-corpを付けると、明示的に許可していないリソースを埋め込めなくなる。両方を設定すれば、プロセス内にそのページがすでに読む権利のないデータは存在しなくなり、機能が再び使える。代償は、適切なヘッダーのない埋め込みコンテンツが動かなくなることだ。