WebGL: Chrome blockiert externe Texturen und aktiviert CORS
(Bild: Khronos Group)

WebGL

Chrome blockiert externe Texturen und aktiviert CORS

Nach Firefox 5 unterbindet auch Googles Browser Chrome 13 die Nutzung von Cross-Domain-Texturen in WebGL aus Sicherheitsgründen. Zugleich aktiviert Google aber CORS-Support, um das Laden von externen Texturen wieder zu ermöglichen.

Anzeige

Google reagiert auf ein Sicherheitsproblem bei der Einbindung externer Ressourcen in WebGL und sperrt die Nutzung von Cross-Domain-Ressourcen für WebGL in Chrome 13. Es bestehe die Gefahr, dass durch die Einbindung externer Ressourcen Informationen an Dritte gesandt werden, heißt es. Das kann dazu führen, dass einige WebGL-Applikationen in Googles Browser nicht mehr funktionieren.

Werden Pixeldaten aus externen Bildern geladen, werden Canvas-Elemente, in denen auch WebGL-Inhalte dargestellt werden, für Scriptzugriffe gesperrt. So soll verhindert werden, dass das Canvas-Element als Proxy genutzt wird, um über ein Script an Bilder einer im gleichen Browser geöffneten Webseite heranzukommen. Denkbar wäre andernfalls, dass ein Script die Daten einer offenen Bankwebseite über das Canvas-Element ausliest.

Bereits im Oktober 2010 wies der Sicherheitsexperte Steve Baker darauf hin, dass es dennoch möglich ist, Pixel aus externen Bildern über WebGL-Texturen auszulesen. Dabei müssen die Pixel einzeln mit einem Fragment-Shader versehen werden, um zu messen, wie lange es dauert, die Helligkeit der Pixel zu verändern. Damit, so Baker, ließe sich ein ungefähres Abbild einer externen Grafik erstellen. War der Angriff anfangs noch recht komplex, hätten weitere Forschungen einen Proof-of-Concept hervorgebracht, was zeige, dass der Angriff praktisch möglich ist.

Als Reaktion darauf wurde die WebGL-Spezifikation angepasst und das Laden von Cross-Domain-Bildern als WebGL-Texturen verboten. Mozilla hat diese Änderung mit Firefox 5 umgesetzt, Google kündigte sie nun für Chrome 13 an.

Zugleich führt Google Cross-Origin Resource Sharing (CORS) für Mediaelemente ein. Darüber ist es dann wieder möglich, externe Texturen und Videos zu verwenden. Mittels Cors kann ein Server angeben, wann Scripte anderer Webseiten auf ein Bild zugreifen können. Dazu müssen die entsprechenden Websites aber die Nutzung ihrer Bildressourcen freigeben.

Google hat dies für Picasa bereits aktiviert, so dass Bilder aus Picasa in WebGL mittels CORS verwendet werden können. Testen lässt sich diese mit der aktuellen Entwicklerversion von Chrome, die im Chrome-Dev-Channel zum Download bereitsteht.


Kommentieren



Anzeige

  1. OpCon-Programmierer (m/w)
    Scheugenpflug AG, Neustadt an der Donau
  2. Scrum Master (m/w)
    MaibornWolff GmbH, München
  3. Geoinformatiker/-in im Fachbereich "Strahlenschutz und Umwelt"
    Bundesamt für Strahlenschutz, Salzgitter
  4. Consultant Finance Processes & Applications (m/w)
    Fresenius Netcare GmbH, Bad Homburg

 

Detailsuche


Top-Angebote
  1. NEU: Filmfest - Eine Woche reduzierte Filme, Serien & Box-Sets
    (z. B. 5 Blu-rays für 30 EUR u. a. Terminator 3, Last Action Hero, Salt, Underworld Evolution...
  2. NEU: Driver: San Francisco Deluxe Edition
    11,99€
  3. NEU: Risen 2: Dark Waters [Download]
    9,99€

 

Weitere Angebote


Folgen Sie uns
       


  1. Protest

    WLAN-Störerhaftung soll gegen EU-Recht verstoßen

  2. Mojang

    Spezielle Version von Minecraft für Windows 10

  3. Android 5.0

    Kein Lollipop für das Galaxy Note 2

  4. Deltatronic Silentium X99 im Test

    Und er brennt doch nicht durch

  5. Ekso Works Industrial Exoskeleton

    Passives Exoskelett unterstützt Arbeiter

  6. Nintendo Sony

    Historischer Prototyp der Playstation aufgetaucht

  7. 20 Jahre

    Amazon kündigt Sonderangebote nur für Prime-Mitglieder an

  8. Spionagesoftware

    Hacking Team von Unbekannten gehackt

  9. Nexus 5 (2015)

    Weitere Details zu LGs nächstem Nexus-Smartphone

  10. Lollipop

    Android 5.1.1 erreicht Galaxy-S6-Modelle in Deutschland



Haben wir etwas übersehen?

E-Mail an news@golem.de



Berliner Datenschutzbeauftragter: Jemand muss den Datenschutz sexy machen!
Berliner Datenschutzbeauftragter
Jemand muss den Datenschutz sexy machen!
  1. E-Gesundheitskarte Mangelnde Personenüberprüfung gefährdet Patientendaten
  2. EU-Ministerrat Showdown für Europas Datenschutz
  3. Umfrage E-Personalausweis im Internet kaum genutzt

Pebble Time im Test: Nicht besonders smart, aber watch
Pebble Time im Test
Nicht besonders smart, aber watch
  1. Smartwatch Pebble Time kostet außerhalb von Kickstarter 250 Euro
  2. Smartwatch Apple gibt iOS-App für die Pebble Time frei
  3. Smartwatch Pebbles iOS-App wird von Apple nicht freigegeben

Batman Arkham Knight im Test: Es ist kompliziert ...
Batman Arkham Knight im Test
Es ist kompliziert ...
  1. Arkham Knight Erster PC-Patch für Batman
  2. Technische Probleme Batman Arkham Knight nicht mehr auf Steam erhältlich

  1. Re: Das Problem kommt dann...

    Oldschooler | 13:16

  2. Re: Echt vs. Fake

    keböb | 13:16

  3. Das würde auch erklären, warum die die Blockchain...

    Smile | 13:15

  4. Re: Bye bye Samsung...

    Balion | 13:15

  5. Re: Wo gibts den Torrent ?

    sn1x | 13:14


  1. 13:19

  2. 12:34

  3. 12:24

  4. 12:02

  5. 12:01

  6. 11:17

  7. 10:46

  8. 10:37


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel