Isu Keselamatan Mengenai HTML5 Perkara Yang Pembangun Perlu Ingat_html5 Petua Tutorial

Pakar keselamatan aplikasi berkata HTML5 membawa cabaran keselamatan baharu kepada pembangun.
Perang mulut antara Apple dan Adobe telah menyebabkan banyak spekulasi mengenai nasib HTML 5. Walaupun pelaksanaan HTML 5 masih jauh lagi, satu perkara yang pasti ialah pembangun yang menggunakan HTML 5 Ciri keselamatan baharu perlu digunakan untuk kitaran hayat pembangunan keselamatan aplikasi untuk menangani cabaran keselamatan yang ditimbulkan oleh HTML5.
Jadi apakah kesan HTML5 pada permukaan serangan yang perlu kita tutup? Artikel ini akan meneroka beberapa isu keselamatan penting tentang HTML 5.
　Storan sebelah pelanggan
Versi awal HTML hanya membenarkan tapak web menyimpan kuki sebagai maklumat setempat, dan ruang ini agak kecil dan hanya sesuai untuk menyimpan maklumat arkib ringkas atau sebagai storan di lokasi lain . Pengecam untuk data, seperti ID sesi, kata Dan Cornell, pengarah penyelidikan keselamatan aplikasi di Denim Group. Walau bagaimanapun, HTML5 LocalStorage membenarkan penyemak imbas menyimpan pangkalan data yang besar secara setempat, membenarkan jenis aplikasi baharu digunakan.
"Risiko yang dihadapi ialah data sensitif mungkin disimpan pada stesen kerja pengguna tempatan dan penyerang yang mengakses atau memusnahkan stesen kerja secara fizikal boleh mendapatkan data sensitif dengan mudah," kata Cornell, "Ini amat penting apabila menggunakan komputer kongsi. . "Secara takrifan, ia benar-benar hanya keupayaan untuk menyimpan maklumat pada sistem pelanggan," kata Josh Abraham, seorang penyelidik keselamatan di Rapid7 "Kemudian anda mempunyai potensi untuk serangan suntikan SQL sisi pelanggan, atau mungkin satu daripada pangkalan data pelanggan anda berniat jahat, dan apabila disegerakkan dengan sistem pengeluaran, mungkin terdapat masalah penyegerakan, atau data pelanggan yang berpotensi berniat jahat akan dimasukkan ke dalam sistem pengeluaran untuk mengesahkan sama ada data itu berniat jahat, yang sebenarnya merupakan masalah yang sangat kompleks.
Tidak semua orang bersetuju tentang kepentingan isu ini. Chris Wysopal, ketua pegawai teknologi di Veracode, berkata terdapat banyak cara untuk aplikasi web menyimpan data sisi pelanggan, seperti melalui penggunaan pemalam atau sambungan penyemak imbas.
"Terdapat banyak cara yang diketahui untuk memanipulasi sifat HTML5 SessionStorage yang digunakan pada masa ini, tetapi isu ini tidak akan diselesaikan sehingga standard dimuktamadkan," kata Wysopal.
　
Komunikasi merentas domain
Walaupun versi HTML lain mungkin membenarkan JavaScript mengeluarkan permintaan XML HTTP kembali ke pelayan asal, HTML5 melonggarkan sekatan ini dan permintaan HTTP XML boleh dihantar ke mana-mana pelayan yang membenarkan ini. Sudah tentu, ini juga boleh menyebabkan masalah keselamatan yang serius jika pelayan tidak boleh dipercayai. 　“Sebagai contoh, saya boleh membina mashup (mashup yang menggabungkan dua atau lebih aplikasi web yang menggunakan pangkalan data awam atau peribadi untuk membentuk aplikasi bersepadu) untuk menarik skor permainan daripada tapak web pihak ketiga melalui JSON (Javascript Object Notation) ,” Cornell berkata, "Tapak web ini boleh menghantar data berniat jahat kepada aplikasi yang sedang berjalan dalam penyemak imbas pengguna saya. Walaupun HTML5 membenarkan penciptaan jenis aplikasi baharu, jika pembangun tidak memahami ciri ini apabila mereka mula menggunakannya, Keselamatan implikasi aplikasi yang dibuat akan membawa risiko keselamatan yang besar kepada pengguna ”
Bagi pembangun yang menulis aplikasi yang bergantung pada PostMessage(), mereka mesti menyemak dengan teliti untuk memastikan maklumat itu datang daripada laman web mereka sendiri, jika tidak, kod berniat jahat daripada tapak web lain boleh mencipta mesej berniat jahat, tambah Wysopal. Ciri ini sememangnya tidak selamat dan pembangun telah mula menggunakan ciri DOM (Model Objek Dokumen)/pelayar yang berbeza untuk meniru komunikasi merentas domain.
Satu lagi isu berkaitan ialah Konsortium Web Sedunia pada masa ini menyediakan cara untuk memintas dasar asal yang sama menggunakan mekanisme merentas domain yang serupa untuk reka bentuk perkongsian sumber merentas asal.
"IE menggunakan ciri keselamatan yang berbeza daripada Firefox, Chrome dan Safari," katanya "Pembangun perlu memastikan mereka dicederakan dengan membuat senarai kawalan akses yang terlalu permisif, terutamanya kerana beberapa kod rujukan pada masa ini sangat tidak selamat >　
Keselamatan Iframe

　Dari perspektif keselamatan, HTML5 juga mempunyai ciri yang baik, seperti rancangan untuk menyokong atribut kotak pasir iframes 　"Atribut ini akan membolehkan pembangun memilih cara data ditafsirkan . "Malangnya, seperti kebanyakan HTML, reka bentuk ini berkemungkinan disalahfahamkan oleh pembangun dan ia berkemungkinan dilumpuhkan oleh pembangun kerana menyusahkan untuk digunakan." Jika dilakukan dengan betul, ciri ini boleh membantu melindungi daripada iklan pihak ketiga yang berniat jahat atau menghalang mainan semula kandungan yang tidak boleh dipercayai. ”