某個客戶端的數據庫是惡意的，當與生產系統同步時，則可能出現同步 問題，或者客戶端的潛在惡意數據將被插入到生產系統。”為了解決這個問題，開發人員需要能夠驗證數據是否為惡意的，這其實是個很復雜的問題。對于這個問題的重要性并不是所有人都贊同。Veracode公司首席技術官Chris Wysopal表示，例如web應用程序通過使用插件或者瀏覽器擴展存儲數據客戶端就一直存在很多方法。“有很多已知的方法可以操控目前部署的HTML5 SessionStorage屬性，但是標準最終確定時，這個問題才會解決。
跨域通信
而其他版本的HTML可能直允許JavaScript發出XML HTTP請求調用回原來的服務器，而HTML5放寬了這個限制，XML HTTP請求可以發送給任何允許這種請求的服務器。當然，如果服務器不可信任的話，這也會帶來嚴重安全問題。“例如，我可以建立一個mashup(糅合，將兩種以上使用公共或者私有數據庫的web應用合并形成一個整合應用)通過 JSON(Javascript Object Notation)將第三方網站的比賽比分拉過來，”Cornell表示，“這個網站可能會發送惡意數據到我的用戶瀏覽器正在運行的應用程序上。雖說 HTML5允許新類型的應用程序的建立，但如果開發人員在開始使用這些功能時，并不理解他們所建立的應用程序的安全意義，那么將會給用戶帶來很大安全風 險。”
對于依賴于PostMessage()來編寫應用程序的開發人員而言，必須仔細檢查以確保信息是來源于他們自己的網站，否則來自其他網站的惡意 代碼可能會制造惡意信息，Wysopal補充說。這個功能本身并不是安全的，開發人員已經開始使用不同的DOM(文檔對象模型)/瀏覽器功能來效仿跨域通訊。另一個相關問題是，萬維網聯盟目前為跨源資源共享設計提供了一種使用類似與跨域機制繞過同源政策的方法。“IE部署的安全功能與Firefox、Chrome以及Safari都不相同，“開發人員需要確保他們創建過于寬松訪問控制列表的 危害，特別是因為某些參考代碼目前非常不安全。
Iframe安全
從安全角度來看，HTML5也有不錯的功能，例如計劃支持iframe的沙盒屬性。“這個屬性將允許開發者選擇數據如何解譯的方式，“不幸的是，與大部分HTML一樣，這個設計很可能被開發人員誤解，很 可能因為不便于使用而被開發人員禁用。如果處理得當，這個功能將能夠幫助抵御惡意第三方廣告或者防止不可信任內容重放。”
2018-03-09
關鍵詞：
3294
電話咨詢
業務咨詢
TOP