Currently browsing posts found in January2010
Firefox Extension 的安全問題
Number of Comments » 0若 Firefox 開發延伸套件時，應該會知道 Firefox 對於外掛並沒有安全防護機制的，只要你能裝進系統，大約就可以使用所有的元件或存取系統資源。延伸套件被視為可信賴的軟體，開發者應負起各延伸套件的安全性。
對此，Firefox 在 Java Script 開發環境的安全設計主要分為賦權與未賦權的兩種安全模式。賦權的環境中，軟體可以存取所有的 XPCOM，沒有任何限制，於是它可以讀取或修改使用者的歷史紀錄、Cookie 等，甚至存取所有系統檔案。而 non-privileged 則僅提供限制嚴格的 HTML DOM API 權限，Script 的存取也依照其網址與網域名稱給予嚴格限制，避免 XSS 或本地檔案讀取等安全問題發生。
無論是外部的網頁，或者是 XUL 軟體，都是使用 XML/HTML/Java Script/CSS 來撰寫，因此概念上都是由 Window 載入 XML 文件，並透過 Java Script 來存取 DOM API。
開發延伸套件時，凡是在 XUL Overlays 或 XPCOM Components 中的程式碼，都是給予完全的存取權限。而從外部網頁載入的內容，應該給於其未賦權的權限。這種安全模式的設計，乃是防止網頁上的程式可以任意存取系統資源，是一道安全保護牆。
由於 Mozilla 社群並未對安全模式定義名詞，這裡暫區分稱呼如下兩種安全模式
Web content document (non-privileged)
Chrome document (privileged)
各個程式的安全模式可依照該載入網址作區別，例如 chrome:// 有完全權限、http://example.com 則可存取 example.com、file:/// 則可存取本地檔案。
你也可在利用 PrivilegeManager 詢問使用者後存取 XPCOM [...]
Firefox Application Directory Lockdown
Number of Comments » 0剛讀到這篇 Component Directory Lockdown 新聞時，乍看標題誤以為 Firefox 3.6 中所有的 XPCOM components 都將被閹掉、無法使用了。認真讀了火狐人肉盾牌 (Human Shield) Johnathan Nightingale 的公告、以及 Vladimir Vukićević 的詳盡說明，知道關掉的是官方自動載入 Firefox 安裝目錄下的 components 目錄。
其實是為了一些惡搞軟體所下的限制，特別是在 Windows 平台上。許多 Windows 使用者都會安裝一些防毒軟體、輔助工具等等，許多 Windows 上的工具軟體常便宜行事，會偷偷在 Firefox/components 目錄下塞入自己的 XPCOM 元件，藉此置入功能到 Firefox 中。在 Firefox 的設計中，這些 XPCOM 元件都會依照其宣告被自動載入、執行。
問題在於不少軟體的作法都是射後不理，軟體公司常常依照特定版本的 Firefox 開發其 XPCOM 元件，安裝時強制安裝該元件檔案到 Firefox 的 components 目錄，然後就不管了。隨著時間演進，使用者可能會升級 Firefox，結果這些非官方的 XPCOM 元件未被升級，造成相容性問題而使整個瀏覽器當掉。
XPCOM 是設計來接取一些基本的系統資源、或與其他函式庫介接，若是 API 版本不合，不小心會造成當機、安全漏洞或系統損毀。特別是 XPCOM 不同於 [...]