◀ Prev · Parts · Full · Next ▶

layout: Wide · Narrow · Centered

JavaScript et la structure DOM des pages HTML/XML ont quelques

failles de sécurité. En effet, des scripts malveillants peuvent se

cacher dans le code d'une page web et s'exécuter sur l'ordinateur cible

de l'utilisateur du Web.

Les problèmes de sécurité étaient souvent présents avec ActiveX, une

fonctionnalité du navigateur maintenant obsolète Internet Explorer.

Cette fonctionnalité permettait l'exécution de programmes malveillants

sur l'ordinateur de la victime, en dehors du navigateur. Aujourd'hui,

l'environnement javascript est plus sécurisé.

Les fournisseurs de navigateurs web tentent de réduire ce risque avec

deux restrictions :

• l'une est de faire exécuter ces scripts dans un espace à part des

autres données (sandbox) dans lequel seules des actions relatives au web

(mouvements de souris, affichage de pixel, communications) peuvent être

exécutées, sans avoir accès au système de fichier principal ;

• la deuxième est de n'exécuter les scripts que selon les contraintes de

same-origin policy : dans cet esprit, un site Web ne doit pas avoir

accès aux informations telles que les noms d'utilisateur et mot de passe

ou cookies reçus des autres sites visités.

Les vulnérabilités de JavaScript sont bien souvent des brèches d'au

moins l'un de ces deux principes.

Certains sous-ensembles du langage Javascript tels que JavaScript—ADsafe

ou Secure ECMAScript (SES) fournissent de plus grands niveaux de

sécurité, en particulier pour les scripts créés par des tierces parties

(notamment les publicités)cite-ref-22[22]cite-ref-23[23]. Caja est un autre logiciel pour

inclure et isoler de manière sécurisée du JavaScript et du HTML tierce

partie.

La Politique de sécurité du contenu est la principale méthode destinée à

assurer que seul un script de confiance est exécuté sur une page Web.

Meltdown est une vulnérabilité indépendante de Javascript, qui peut

notamment être exploitée en Javascript.

◀ Prev · Parts · Full · Next ▶