BT

如何利用碎片时间提升技术认知与能力? 点击获取答案

微软因为安全原因拒绝采用WebGL

| 作者 Abel Avram 关注 10 他的粉丝 ,译者 侯伯薇 关注 0 他的粉丝 发布于 2011年6月27日. 估计阅读时间: 4 分钟 | QCon上海2018 关注大数据平台技术选型、搭建、系统迁移和优化的经验。

最近微软引用了两份分析WebGL中安全弱点的报告,以此作为不支持WebGL的主要原因,尽管Google、Mozilla、Opera和Apple都支持这种3D图形标准。

HTML5的Canvas元素让开发者可以使用不同的渲染引擎来编写图形程序,WebGL就是其中的一种,它基于Khronos小组管理的OpenGL驱动、针对硬件加速3D渲染的规范创建,当前Google Chrome、Mozilla Firefox、Opera以及Safari的每日构建版本中都已经实现了该规范。 WebGL 1.0是在2011年2月份发布的,但Chrome早在一年前就已经支持它了。

唯一一家没有使用WebGL的主要浏览器厂商就是微软。尽管我们可以使用Google的ANGLE,它会把对WebGL的API调用转换为等价的DirectX调用,但那并非是一种本地解决方案,如果Windows能够对WebGL提供本地支持,那会更加合适,但是Windos并未提供这种支持,而且,微软声称,他们不会采用WebGL,因为它存在安全漏洞。

微软对WebGL的安全缺陷的抱怨基于Context Information Security编写的两份报告: 《WebGL——浏览器开发的新维度(WebGL – A New Dimension for Browser Exploitation)》《WebGL——更多WebGL安全缺陷(WebGL – More WebGL Security Flaws)》。这两份报告说明了在WebGL中发现的一些安全问题,像易于受到DoS攻击、跨域的图像窃取,以及Firefox实现中的一个bug,那让攻击者可以窃取用户的数据。

Khronos已经对Context的第一份报告作出响应,建议用户使用GL_ARB_robustness扩展来解决问题,“已经有一些GPU厂商部署了该扩展,而Khronos期望其他厂商也能够尽快部署,”以此作为针对DoS攻击的解决方案。关于跨域图像窃取,他们说到:

如果WebGL能够拥有合并跨域图像的能力,那么就会给开发者提供很大的方便,但是WebGL工作组正在考虑采用跨原始资源共享(Cross Origin Resource Sharing,CORS)或者其它机制,从而避免将来因此而受到谴责。

Context 不认为Khronos的GL_ARB_robustness解决方案很合适,因为在发现DoS攻击的时候,它可能会重置GPU。Context同意Khronos关于图像窃取的解决方案,建议“如果需要管理跨域图片的机制,就需要在WebGL中使用CORS”。 他们还提到,需要和Mozilla协作,修复在Firefox中发现的弱点,Mozilla会乐于接受这种协作,并且他们还与Google也取得了联系。最终结论是,Context建议用户禁用WebGL,硬件厂商也不要继续为其提供支持。

在Context的报告之后,微软也列举了他们 对WebGL的主要关注点,决定“在当前表单”中不支持WebGL,这种表述也为将来一旦想要改变主意的时候留了后路:

  • “让浏览器支持WebGL会直接把硬件功能暴露给web,我们认为不应该允许这种方式。”
  • “让浏览器支持WebGL,安全服务责任就会过于依赖第三方来保证web体验中的安全性。”
  • “系统在遭到DoS攻击时也会出现很多问题。”

我们还要提到一些相关的内容,微软对于DirecX投资过于巨大,在1995年就已经发布了第一个版本,所以他们很可能会继续支持这种技术。

然而,苹果最近宣布iOS 5会使用WebGL来进行3D渲染,但是据Chris Marrin所说,那只会限定在iAd开发者。他们可能会扩展对WebGL的支持,使得它成为iOS中的公共API,从而有步骤地使用曾经有效的方法来引入新技术。

查看英文原文:Microsoft Rejects WebGL for Security Reasons

评价本文

专业度
风格

您好,朋友!

您需要 注册一个InfoQ账号 或者 才能进行评论。在您完成注册后还需要进行一些设置。

获得来自InfoQ的更多体验。

告诉我们您的想法

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

真是笑话 by 冯 希顺

真是笑话,如果要是以安全原因为理由来拒绝一个新生事物,那就不会有Windows、Office,也不会有微软了。

笑话 by Zeng Abrams

先把你的IE弄好再说

别总用阴谋论回避问题是否存在和怎么解决 by 孙 巍

我关注的是Khronos小组的回复,他们很认真的回答了微软的疑问,提出了解决办法(可不可行,好不好使另说),而不是评判微软的产品和微软的动机。如果我们中国人做事也能这样就好了,别总用阴谋论回避问题是否存在和怎么解决。

Re: 别总用阴谋论回避问题是否存在和怎么解决 by x tiger

顶 LS ,就事论事,不要顾左右而言他

Re: 真是笑话 by minkang wu

还是利益保护问题。

Re: 别总用阴谋论回避问题是否存在和怎么解决 by 李 毅

我关注的是Khronos小组的回复,他们很认真的回答了微软的疑问,提出了解决办法(可不可行,好不好使另说),而不是评判微软的产品和微软的动机。如果我们中国人做事也能这样就好了,别总用阴谋论回避问题是否存在和怎么解决。
技术人员更要学会就是论事,别什么东西都是一顶大帽子就扣上去了

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

6 讨论

登陆InfoQ,与你最关心的话题互动。


找回密码....

Follow

关注你最喜爱的话题和作者

快速浏览网站内你所感兴趣话题的精选内容。

Like

内容自由定制

选择想要阅读的主题和喜爱的作者定制自己的新闻源。

Notifications

获取更新

设置通知机制以获取内容更新对您而言是否重要

BT