Problemi di sicurezza del JS iniettato dal browser

1

Per utilizzare la crittografia end-to-end, sto utilizzando un piccolo strumento che crittografa i contenuti che vengono poi pubblicati e archiviati sui nostri server. Mentre ci sono diverse preoccupazioni sulla crittografia basata su client, penso che sia meglio di niente crittografia.

Lo strumento non viene distribuito dalle pagine Web stesso, ma memorizzato su un server affidabile e inserito da estensioni browser o bookmark nella pagina in cui vogliamo utilizzare la crittografia.

Per ora, le pagine in cui viene utilizzato lo strumento sono anch'esse sotto il nostro controllo e un po 'affidabili. Tuttavia, mi piace usare lo strumento anche su pagine di terze parti, come i siti webmail.

Questo mi fa interrogare su come un sito Web dannoso (o anche solo sciatto) possa minacciare la crittografia, ad es. incanalando la chiave o il testo normale sul server. C'è qualche possibilità di sandboxing del JS iniettato, oppure gli eventi DOM e gli spazi dei nomi JS forniscono accesso che non può essere bloccato in alcun modo? Quanto sono grandi le probabilità che i siti "buoni" possano sifonare la chiave per sbaglio?

    
posta dronus 24.05.2015 - 19:37
fonte

1 risposta

1

Se si sta eseguendo il codice in un'estensione, viene eseguito in un contesto separato (per sicurezza) e può essere eseguito senza che il codice / chiave sia nascosto alla pagina Web chiamata (che è leggermente diversa da la pagina web non è in grado di rilevare che hai usato qualche script all'interno della pagina).

Ad esempio, GreaseMonkey è progettato per fare questo genere di cose (eseguire script su pagine di terze parti) e, per quanto è scritto correttamente, ¹ la pagina interessata non può leggere / manipolare lo script.

¹ Alcuni costrutti non sicuri, come unsafeWindow, consentirebbero una compromissione dello script, e anche per la pagina di eseguire javascript con i privilegi di Chrome.

    
risposta data 24.05.2015 - 23:28
fonte

Leggi altre domande sui tag