Commenti a: Proof of Concept per le applicazioni. E per le estensioni?

Di: Anonymous

Anonymous — Thu, 21 Jun 2007 17:20:00 +0000

Concordo con l’anonimo del 2 commento ; in ff/mozilla javascript è sicuramente il “mezzo naturale” attraverso cui far passare exploits per le estensioni per un motivo molto semplice : non è possibile impostare la sameOrigin policy. Per chiarirci in ff/mozilla esistono 3 policy di sicurezza : allAccess ( accesso illimitato ), noAccess ( accesso negato ) e sameOrigin ( accesso vincolato alla medesima provenienza : stesso dominio, stesso sito , etc … ) l’accesso a gli elementi del DOM è limitato alla sameOrigin policy, mentre per javascript è possibile impostare noAccess oppure allAccess. Certo è possibile creare una policy personalizzata attarverso cui dare accesso illimitato ai siti/location in whitelist e negare ogni accesso al resto ( come fa l’estensione di ff NoScript ) ma la sameOrigin resta IMHO la soluzione più sicura anche se mi rendo conto che applicata a javascript renderebbe tutto molto complicato.

Di: Angelo

Angelo — Tue, 19 Jun 2007 10:36:00 +0000

Complimenti, ottime riflessioni

Di: Anonymous

Anonymous — Mon, 18 Jun 2007 01:18:00 +0000

Concordo con aloha : aggiungo che il più delle volte il “danno” deriva dall’impossibilità di marcare in maniera netta dominio locale e dominio remoto : le estensioni dovrebbero lavorare sul dominio locale e per spedire dati nel dominio remoto dovrebbero usare delle interfacce protette verso tale dominio. Codice che gira in locale non dovrebbe poter ricevere direttamente input che provengono da remoto ; viceversa codice che gira in dominio remoto (javascript) non dovrebbe poter accedere alle risorse locali. In teoria dovrebbe essere così : in pratica poi succede che vengono definiti Internet OS delle soluzioni come eyeOS

Di: al0ha

al0ha — Sun, 17 Jun 2007 04:40:00 +0000

Se posso aggiungerei che anche all’interno delle stesse estensioni che scarichiamo e installiamo può esserci codice fallato, insicuro o malizioso. Direi anche di fare attenzione a tutte quelle estensioni che permettono di fare il login attraverso di esse. Spesso questo avviene postando le credenziali di accesso “in chiaro”, naturalmente basta che qualcuno sniffi i dati che passano attraverso la vostra rete per avere accesso a queste informazioni. Una “famosa” estensione di firefox per twitter per esempio ne è una dimostrazione…