Abo
  • Services:

Sicherheit

Firefox 5 erlaubt keine externen Texturen bei WebGL mehr

Mozilla wird die Nutzung von Cross-Domain-Texturen in WebGL in Firefox 5 deaktivieren. Texturen können dann aus Sicherheitsgründen nicht mehr von externen Seiten geladen werden.

Artikel veröffentlicht am ,
Sicherheit: Firefox 5 erlaubt keine externen Texturen bei WebGL mehr
(Bild: Khronos Group)

Mozilla reagiert auf Sicherheitsbedenken in Bezug auf die Einbindung externer Ressourcen in WebGL und sperrt die Nutzung von Cross-Domain-Ressourcen für WebGL in Firefox 5. Es bestehe die Gefahr, dass durch die Einbindung externer Ressourcen Informationen an Dritte gesandt werden, heißt es.

Stellenmarkt
  1. DGUV - Deutsche gesetzliche Unfallversicherung, Sankt Augustin
  2. Dürr IT Service GmbH, Bietigheim-Bissingen

Webseiten, die WebGL mit externen Texturen verwenden, werden dadurch in Firefox nicht mehr funktionieren. Mozilla arbeitet nach eigenen Angaben zusammen mit der WebGL-Arbeitsgruppe an einer Lösung, die sicherstellen soll, dass auch solche Seiten wieder funktionieren.

Werden Pixeldaten aus externen Bildern geladen, werden Canvas-Elemente, in denen auch WebGL-Inhalte dargestellt werden, für Scriptzugriffe gesperrt. So soll verhindert werden, dass das Canvas-Element als Proxy genutzt wird, um über ein Script an Bilder einer im gleichen Browser geöffneten Webseite heranzukommen. Denkbar wäre andernfalls, dass ein Script die Daten einer offenen Bankwebseite über das Canvas-Element ausliest.

Bereits im Oktober 2010 wies aber der Sicherheitsexperte Steve Baker darauf hin, dass es dennoch möglich ist, Pixel aus externen Bildern über WebGL-Texturen auszulesen. Dabei müssen die Pixel einzeln mit einem Fragment-Shader versehen werden, um zu messen, wie lange es dauert, die Helligkeit der Pixel zu verändern. Damit, so Baker, ließe sich ein ungefähres Abbild einer externen Grafik erstellen.

War der Angriff anfangs noch recht komplex, hätten weitere Forschungen einen Proof-of-Concept hervorgebracht, was zeige, dass der Angriff praktisch möglich ist.

Als Reaktion darauf wurde die WebGL-Spezifikation angepasst und das Laden von Cross-Domain-Bildern als WebGL-Texturen verboten. Mozilla wird diese Änderung in Firefox 5 integrieren.

Abhilfe schaffen soll "Cross-Origin Resource Sharing", kurz Cors, das Mozilla schnellstmöglich implementieren will. Mittels Cors kann ein Server angeben, wann Scripte anderer Webseiten auf ein Bild zugreifen können.

Details zu den Änderungen sind einem Blogeintrag bei Mozilla zu entnehmen.



Anzeige
Top-Angebote
  1. (u. a. Corsair STRAFE RGB für 109,90€ + Versand statt ca. 160€ im Vergleich und Corsair STRAFE...
  2. (u. a. Steel HR Hybrid Smartwatch mit Herzfrequenz- und Aktivitätsmessung für 124,99€ statt 149...
  3. (u. a. Rise of the Tomb Raider - 20 Year Celebration Edition für 12,49€ und The Elder Scrolls V...
  4. (u. a. The Crew 2 für 29,99€)

teleborian 10. Jun 2011

erinnert mich an Freenet


Folgen Sie uns
       


Huawei Mate 20 Pro - Test

Das Mate 20 Pro ist Huaweis neues Topsmartphone. Es kommt wieder mit einer Dreifachkamera, die um ein Superweitwinkelobjektiv ergänzt wurde. Im Test gefällt uns das gut, allerdings ist die Kamera weniger scharf als die des P20 Pro.

Huawei Mate 20 Pro - Test Video aufrufen
NGT Cargo: Der Güterzug der Zukunft fährt 400 km/h
NGT Cargo
Der Güterzug der Zukunft fährt 400 km/h

Güterzüge sind lange, laute Gebilde, die langsam durch die Lande zuckeln. Das soll sich ändern: Das DLR hat ein Konzept für einen automatisiert fahrenden Hochgeschwindigkeitsgüterzug entwickelt, der schneller ist als der schnellste ICE.
Ein Bericht von Werner Pluta


    E-Mail-Verschlüsselung: 90 Prozent des Enigmail-Codes sind von mir
    E-Mail-Verschlüsselung
    "90 Prozent des Enigmail-Codes sind von mir"

    Der Entwickler des beliebten OpenPGP-Addons für Thunderbird, Patrick Brunschwig, hätte nichts gegen Unterstützung durch bezahlte Vollzeitentwickler. So könnte Enigmail vielleicht endlich fester Bestandteil von Thunderbird werden.
    Ein Interview von Jan Weisensee

    1. SigSpoof Signaturen fälschen mit GnuPG
    2. Librem 5 Purism-Smartphone bekommt Smartcard für Verschlüsselung

    Coachingbuch: Metapher mit Mängeln
    Coachingbuch
    Metapher mit Mängeln

    Der Persönlichkeitscoach Thomas Hohensee plädiert in seinem neuen Buch dafür, problematische Kindheitsmuster zu behandeln wie schadhafte Programme auf einem Rechner: mit Reset, Updates und Neustart. Ein origineller Ansatz - aber hält er dem Thema stand?
    Von Cornelia Birr

    1. Elektronisch Arzneimittelrezept kommt auf Smartphone
    2. Relayr Rückstandsglaube als Startup-Vorteil
    3. Liberty Global Ericsson übernimmt Netzwerkbetrieb bei Unitymedia

      •  /