转载

受够了Flash的无尽安全漏洞？别急，HTML 5也有不少问题

网络浏览器与HTML 5技术在大步发展的同时，也给互联网应用领域带来了又一批安全漏洞。

随着Adobe Flash Player等专用插件的逐步淘汰，HTML 5已经自然而然地成为Web领域富多媒体服务交付的标准性继任者。不过说起Flash最大的弊端，也就是孱弱的安全水平，HTML 5似乎也拿不出什么有说服力的改进效果。

事实上，HTML 5当中也存在着自己的一些安全隐患。应用安全监控企业Prevoty公司CEO Julien Bellanger指出，HTML 5的普及令安全工作变得更加复杂、而非更加简单。多年以来，HTML 5的安全性一直无法令人满意，而且没能从根本上实现改进，他表示。

根据Bellanger的说法，HTML 5可能带来以下几类安全风险：

• Canvas图像渲染漏洞有可能导致缓冲区溢出，从而使得攻击者能够将代码注入至会话当中。

• 跨站点脚本使得入侵者能够从浏览器的会话当中窃取信息。

• SQL注入，攻击者可以利用恶意查询从浏览器的数据库内提取信息。

• 跨站点请求伪造，攻击者可以获取到用户验证令牌并借此在Web上对该用户进行冒名顶替。

HTML 5的广泛使用也导致大量与计算机或者移动设备相关的信息遭到泄露，例如存储位置与设备所在位置等，网络安全咨询企业Denim Group公司CTO Dan Cornell指出。“由于HTML 5应用程序能够访问这些信息，因此会带来信息滥用的风险，”他表示。

浏览器“在本质上并不安全”

“我们面临的最大问题在于，浏览器在本质上并不安全，”IT安全咨询企业Secure Ideas公司CEO Kevin Johnson指出。举例来说，HTML 5并不提供安全沙箱保护机制——就连Flash都能在Chrome浏览器上实现这一点，他解释称。

“另一大问题则是，我们将大量复杂性元素添加到了HTML 5当中，但却没有为用户提供同等水平的控制能力，”Johnson表示。至少在Flash当中，用户可以选择将其关闭。但HTML却没办法被关闭。

HTML 5仍然承载着一系列安全承诺

尽管前景不容乐观，但HTML 5仍然成为提升安全水平的希望所在——如果浏览器开发商能够妥善处理相关工作的话，Denim Group公司的Cornell指出。“浏览器开发商们需要审视自己的HTML 5支持规划，并在初始设计工作当中将安全性考量纳入进来，”他表示。“HTML 5所带来的大部分新功能允许应用程序访问到各类敏感信息，因此采取谨慎的态度非常必要。”Johnson则补充称，浏览器开发商应当为用户提供关闭功能，从而保证其在不希望或者不信任对应内容时拥有必要的解决手段。

同时使用多种浏览器也能在一定程度上提升安全水平，因为存在于某种浏览器内的漏洞也许无法影响到其它浏览器，Cornell指出。这就降低了安全漏洞被广泛利用的风险，从这个角度看HTML 5要比Flash做得更好。

浏览器开发商还应致力于改进整体安全水平，Mozilla公司火狐浏览器安全负责人Richard Barnes表示。谷歌、微软、Mozilla以及苹果等企业在浏览器领域的竞争意味着一旦出现安全问题，其声誉将会受到严重影响，因此所有主流浏览器开发商都需要建立起强大的安全技术团队，他强调道。

整个浏览器业界也一直在不断努力改善安全机制，Barnes表示。举例来说，目前一套通用型加密方案正在开发当中，而各浏览器开发商也在着力帮助用户培养安全意识并控制自己暴露在网络环境中的信息，他指出。

另外，标准制定机构的参与同样非常重要。作为HTML 5开发方，万维网联盟拥有自己的内容安全策略规范性建议，而该联盟域名负责人Wendy Seltzer也表示将为Web作者提供一套管理策略语言，帮助他们限制站点上的活动内容并应对脚本注入状况。此外，该安全内容规范还将着力确保各类强大的Web功能只在安全且经过认证的背景下起效。

不过我们最终的目标仍然是保障应用程序的安全，无论其运行在浏览器当中还是操作系统之上。Prevoty公司的Bellanger建议称，开发人员应该参考微软的安全开发生命周期指南来强化自己的应用程序成果。“开发人员仍然有责任构建起尽可能安全的应用程序产品，”他强调称。

原文标题：Sick of Flash security holes? HTML5 has its own

正文到此结束