Anzeige
Sicherheit: Firefox 5 erlaubt keine externen Texturen bei WebGL mehr
(Bild: Khronos Group)

Sicherheit

Firefox 5 erlaubt keine externen Texturen bei WebGL mehr

Sicherheit: Firefox 5 erlaubt keine externen Texturen bei WebGL mehr
(Bild: Khronos Group)

Mozilla wird die Nutzung von Cross-Domain-Texturen in WebGL in Firefox 5 deaktivieren. Texturen können dann aus Sicherheitsgründen nicht mehr von externen Seiten geladen werden.

Mozilla reagiert auf Sicherheitsbedenken in Bezug auf die Einbindung externer Ressourcen in WebGL und sperrt die Nutzung von Cross-Domain-Ressourcen für WebGL in Firefox 5. Es bestehe die Gefahr, dass durch die Einbindung externer Ressourcen Informationen an Dritte gesandt werden, heißt es.

Webseiten, die WebGL mit externen Texturen verwenden, werden dadurch in Firefox nicht mehr funktionieren. Mozilla arbeitet nach eigenen Angaben zusammen mit der WebGL-Arbeitsgruppe an einer Lösung, die sicherstellen soll, dass auch solche Seiten wieder funktionieren.

Anzeige

Werden Pixeldaten aus externen Bildern geladen, werden Canvas-Elemente, in denen auch WebGL-Inhalte dargestellt werden, für Scriptzugriffe gesperrt. So soll verhindert werden, dass das Canvas-Element als Proxy genutzt wird, um über ein Script an Bilder einer im gleichen Browser geöffneten Webseite heranzukommen. Denkbar wäre andernfalls, dass ein Script die Daten einer offenen Bankwebseite über das Canvas-Element ausliest.

Bereits im Oktober 2010 wies aber der Sicherheitsexperte Steve Baker darauf hin, dass es dennoch möglich ist, Pixel aus externen Bildern über WebGL-Texturen auszulesen. Dabei müssen die Pixel einzeln mit einem Fragment-Shader versehen werden, um zu messen, wie lange es dauert, die Helligkeit der Pixel zu verändern. Damit, so Baker, ließe sich ein ungefähres Abbild einer externen Grafik erstellen.

War der Angriff anfangs noch recht komplex, hätten weitere Forschungen einen Proof-of-Concept hervorgebracht, was zeige, dass der Angriff praktisch möglich ist.

Als Reaktion darauf wurde die WebGL-Spezifikation angepasst und das Laden von Cross-Domain-Bildern als WebGL-Texturen verboten. Mozilla wird diese Änderung in Firefox 5 integrieren.

Abhilfe schaffen soll "Cross-Origin Resource Sharing", kurz Cors, das Mozilla schnellstmöglich implementieren will. Mittels Cors kann ein Server angeben, wann Scripte anderer Webseiten auf ein Bild zugreifen können.

Details zu den Änderungen sind einem Blogeintrag bei Mozilla zu entnehmen.


eye home zur Startseite
teleborian 10. Jun 2011

erinnert mich an Freenet


Antary / 15. Jun 2011



Anzeige

Stellenmarkt
  1. Deutsche Telekom AG, Bamberg
  2. Deutsche Telekom AG, Bonn
  3. Bosch Sensortec GmbH, Reutlingen
  4. T-Systems on site services GmbH, München, Leinfelden-Echterdingen


Anzeige
Blu-ray-Angebote
  1. 139,99€
  2. 5,99€
  3. 27,99€

Folgen Sie uns
       


  1. Social Media

    Facebook-Nutzer müssen vorerst weiter Klarnamen angeben

  2. Xiaomi Mi Qicycle

    Elektrisches Klappfahrrad mit Smartphone-Anschluss

  3. The Mill Blackbird

    "Transformer"-artiges Fahrzeug für Filmaufnahmen

  4. United Internet

    Festnetzbetreiber heißt jetzt 1&1 Versatel

  5. Kabelnetz

    Störung bei Vodafone dauert an

  6. Android 7.0

    Die nächste Android-Version heißt Nougat

  7. Pleurobot

    Bewegungen verstehen mit einem Robo-Salamander

  8. Überwachung

    Google sammelt Telefonprotokolle von Android-Geräten

  9. Fritzbox

    AVM veröffentlicht FAQ zur Routerfreiheit

  10. Wertschöpfungslücke

    Musiker beschweren sich bei EU-Kommission über Youtube



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Neue Windows Server: Nano bedeutet viel mehr als nur klein
Neue Windows Server
Nano bedeutet viel mehr als nur klein
  1. Windows 10 Microsoft will Trickserei beim Upgrade beenden
  2. Windows 10 Microsoft zahlt Entschädigung für nicht gewolltes Upgrade
  3. Microsoft Patchday Das Download-Center wird nicht mehr alle Patches bieten

Autotracker Tanktaler: Wen juckt der Datenschutz, wenn's Geld gibt?
Autotracker Tanktaler
Wen juckt der Datenschutz, wenn's Geld gibt?
  1. Ubeeqo Europcar-App vereint Mietwagen, Carsharing und Taxis
  2. Rearvision Ex-Apple-Ingenieure entwickeln Dualautokamera
  3. Tod von Anton Yelchin Verwirrender Automatikhebel führte bereits zu 41 Unfällen

Battlefield 1 angespielt: Zeppeline, Sperrfeuer und die Wiedergeburtsspritze
Battlefield 1 angespielt
Zeppeline, Sperrfeuer und die Wiedergeburtsspritze
  1. Electronic Arts Battlefield 1 mit Wetter und Titanfall 2 mit Kampagne
  2. Dice Battlefield 1 spielt im Ersten Weltkrieg

  1. Es gab niemals ein Patent. Golem schreibt die...

    Der Supporter | 09:50

  2. Re: Irgendwann Personen

    M.P. | 09:49

  3. Re: Fernsehsignal nicht betroffen

    TC | 09:49

  4. Re: Das war doch geplant...

    syrink | 09:49

  5. Re: Ich verstehe diese Politik nicht...

    most | 09:48


  1. 09:44

  2. 07:58

  3. 07:37

  4. 06:00

  5. 22:47

  6. 19:06

  7. 18:38

  8. 17:19


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel