Web-Безопасность: iframe'ы — зло

[lautsevich]

и к чему это? будем расширять namespaces или нарушать валидность и иже с ней?

[kost_bebix]

нет, нарушать ничего не надо пока. Это как идея предложения расширения стандартов.

Здесь же хотел услышать отзывы как об идее в целом.

[drJonnie]

А в чем проблема-то? Что у вас, что в статье просто утверждение — айфреймы есть зло. Автор статьи вообще какую-то чушь пишет:

I predict a huge rise of iframe based attacks I know this won’t happen because there are too many people who use them and don’t understand the security implications.

Думаю, что айфреймы будут использоваться для организации большого количества атак Я знаю, что этого не случится, потому что слишком много людей их используют и не понимают угрозу безопасности.
Бред.

[kost_bebix]

Вы неправильно поняли. Надо переводить предложение полностью, а не с середины.

If I was in charge of browser security I would completely remove them, they are just a bad idea, I predict a huge rise of iframe based attacks from browser exploits to CSRF. I know this won’t happen because there are too many people who use them and don’t understand the security implications.

Если бы я был во главе браузерной безопасности я бы полностью убрал их, так как ифреймы - просто плохая идея, (здесь вот это вот про предсказание атак). Я знаю что этого не случится (имеется в виду полный запрет тэга) бла бла бла...

[Vox]

А чем так плох iframe в сайтах без серверных скритов?

[kost_bebix]

Ну понятное дело что если использовать все правильно - никаких проблем безопасности не будет. Но опыт показывает что баги есть всегда (парадокс последнего бага и т.д. и т.п.).

Насчет сайтов на чистом html я не сильно понял. Солько вы видели нормально поддерживаемых сайтов на чистом html?

А вообще про угрозу iframe (а точнее возможность ошибки) может гласить хотя бы вот это - http://www.securitylab.ru/search/index.p…

[kost_bebix]

В общем, пользователи firefox могут не беспокоиться. Решение проблемы - установка расширения NoScript.

Ссылка на описание решения: http://www.thespanner.co.uk/2007/09/12/n…

[skvoznoy]

Об этой затеи писали не только в вышеназванном журнале, а даже в "Защищённом коде", которая рекомендована к прочтению собственным сотрудникам Гейтса. Увы, коэффициент согласия к использованию со стороны пользователей равен 0.