◀ Prev · Parts · Full · Next ▶

layout: Wide · Narrow · Centered

JavaScript et la structure DOM des pages HTML/XML ont quelques failles de sécurité. En effet, des scripts malveillants peuvent se cacher dans le code d'une page web et s'exécuter sur l'ordinateur cible de l'utilisateur du Web.

Les problèmes de sécurité étaient souvent présents avec ActiveX, une fonctionnalité du navigateur maintenant obsolète Internet Explorer. Cette fonctionnalité permettait l'exécution de programmes malveillants sur l'ordinateur de la victime, en dehors du navigateur. Aujourd'hui, l'environnement javascript est plus sécurisé.

Les fournisseurs de navigateurs web tentent de réduire ce risque avec deux restrictions :

• l'une est de faire exécuter ces scripts dans un espace à part des autres données (sandbox) dans lequel seules des actions relatives au web (mouvements de souris, affichage de pixel, communications) peuvent être exécutées, sans avoir accès au système de fichier principal ;

• la deuxième est de n'exécuter les scripts que selon les contraintes de same-origin policy : dans cet esprit, un site Web ne doit pas avoir accès aux informations telles que les noms d'utilisateur et mot de passe ou cookies reçus des autres sites visités.

Les vulnérabilités de JavaScript sont bien souvent des brèches d'au moins l'un de ces deux principes.

Certains sous-ensembles du langage Javascript tels que JavaScript—ADsafe ou Secure ECMAScript (SES) fournissent de plus grands niveaux de sécurité, en particulier pour les scripts créés par des tierces parties (notamment les publicités)cite-ref-22[22]cite-ref-23[23]. Caja est un autre logiciel pour inclure et isoler de manière sécurisée du JavaScript et du HTML tierce partie.

La Politique de sécurité du contenu est la principale méthode destinée à assurer que seul un script de confiance est exécuté sur une page Web. Meltdown est une vulnérabilité indépendante de Javascript, qui peut notamment être exploitée en Javascript.

◀ Prev · Parts · Full · Next ▶