パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

JavaScriptからローカルファイルシステムへのアクセスを可能にするFile API、標準化へ一」記事へのコメント

  • by duenmynoth (34577) on 2009年11月27日 16時39分 (#1679328) 日記
    もう嫌な予感というか予測しか出てこないです
    デフォルトでOFF できればUACみたいなの希望です

    #アンチウイルスソフトでブロックするのが常識、とかいう未来は嫌ですね
    • Re:利便性より危険性 (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2009年11月27日 21時58分 (#1679610)
      現状はこうやってサーバを介してファイルの内容を取得しているのを

      <input type="file"> →[POST]→ サーバ →[XHTRなど]→ クライアントサイドスクリプト

      サーバを経由しないで取得できるようになるだけで、出来ることは増えていません。

      <input type="file"> →[FileReader]→ クライアントサイドスクリプト

      むしろサーバにアップロードされずクライアントサイドで完結する分だけセキュアな感じがします。
      それにJSのバグによるセキュリティホールを気にするなら、JSの実行自体をUAC的なものでブロックすべきでしょう。File APIだけではなく。
      親コメント
      • by Anonymous Coward

        ですね。
        「JavaScriptでファイル読み込み=危険」といった脊髄反射的な書き込みが散見されますが、
        よくよく考えれば、必ずしも危険になるわけではないことが分かります。

        アップロードファイルのサイズ制限なんかはよくある要件(現状のJavaScriptでは不可能)ですし、
        ファイル内容の簡易チェックなんかもクライアント側で事前に実施することでユーザの利便性向上も期待できます。

        最近はFlashを使ったファイルアップロードが増えてますが、JavaScriptで同様のことができるようになるかな。

        • by Anonymous Coward

          > 最近はFlashを使ったファイルアップロードが増えてますが、JavaScriptで同様のことができるようになるかな。
          つまりこれもFlash置き換え戦略の一環。

      • by Anonymous Coward

        >むしろサーバにアップロードされずクライアントサイドで完結する分だけセキュアな感じがします。

        本当にクライアントサイドで完結してサーバにアクセスしないならそうだろうけど、
        インターネットアクセスを禁止でもしない限りいつでもサーバにもその他のインターネットにもアクセスできるでしょうし、
        全くの錯覚でしょう。
        そもそもスクリプト自身がインターネット上のサーバにある場合も実運用上多いでしょうし。

    • by Anonymous Coward

      だから、File APIで何がより危険になるんですか?
      なんだか変な勘違いしている人が多すぎるのですが、今までももしユーザーが<input type="file">にファイルを指定したら、それを勝手にJavaScriptでアップロードすることはできました。
      > もう嫌な予感というか予測しか出てこないです
      ちゃんと理由を説明できないならそういうのは杞憂とか妄想と言います。

      • by U-Chan (6901) on 2009年11月27日 17時29分 (#1679369)
        これまでJacaScriptではローカルファイルにアクセスする方法がなかったのに、
        <input type="file"> に指定したファイルだけとはいえ、ローカルファイルへの
        アクセスをするAPIを追加するのだから、その部分にバグが入り込むと、
        指定していないローカルファイルでもアクセスされてしまうかもしれないって
        ことじゃないのかな。
        親コメント
        • by Anonymous Coward on 2009年11月27日 18時08分 (#1679413)

          > その部分にバグが入り込むと、
          > 指定していないローカルファイルでもアクセスされて
          その後どうするんですか? それが最終的にどこか知らないサーバーに送信されるから危険なんでしょう? 何度も言っている通り、それならFile APIを使わなくてもすでに可能です。<input type="file">に指定していないファイルを突っ込んで送信できてしまうというバグは現に今までにも存在しました。
          で、JavaScriptからアクセスされることの何が問題なのですか? alertを禁止したドコモと同類の発想ですか?

          親コメント
          • by Anonymous Coward

            徳丸浩の日記 - i-mode2.0セキュリティの検討 - 携帯JavaScriptとXSSの組み合わせによる「かんたんログイン」なりすましの可能性 [tokumaru.org]

            携帯についてはこんな話があるそうだ。
            そもそもFile APIだけ見て擁護してるコメントと
            JavaScriptそのものを危険視していてさらに要因が増えることを懸念しているコメントと
            意見がかみ合ってない

            • by Anonymous Coward

              これは別にJavascriptが危険というより
              いろいろな意味でドコモがへっぽこなだけじゃん。

              • by Anonymous Coward

                いままでだってJavascriptの仕様自体には危険だったわけではないでしょ

          • by Anonymous Coward

            トピには関係ないし、どこのどなたか存じないけど、あなたのお気持ちよくわかります。
            正しいこと言ってるのに、なにも知らない人が脊髄でとんちんかんなこと書いたり、
            問いただすと事実を調べもせずにムキになって刃向かってきたり、それが争いだからってマイナスモデされたり。

            ちゃんとわかってる人もいると言いたいだけなのでAC

      • 旧来なら取得したファイルをサーバで解析することが必要でしたが、
        File APIの登場によりクライアントでのファイル解析が可能になります。
        これによりサーバリソースを大幅に削減し、コストパフォーマンスを向上させることができます。

        マリオネット詐欺とでも名付けようか

        親コメント
      • by Anonymous Coward

        「このページでは、JavaScriptによってファイルを読み取るので、
        外部に情報が漏洩する事はありません」といった詐欺広告文句で、
        なんらかプライベートなファイルに対してJavaScriptで処理させる。

        その後(当然、なんらかの処理をした後に画面が遷移する)のページで、
        HIDDEN属性でファイルの(さらに言えば、JavaScript処理の中で、暗号化するなど)
        内容を保持したまま、次にだれもが押しそうなボタンが、実はHIDDEN情報を外部サーバに
        送信するフォームボタンになっているとか。

        今までなら、まずJavaScriptでファイルを処理できないので詐欺広告はうてない。
        次に、ファイルストリームを暗号化して、途中経路(IDSやIPS、最近ではクレジットカード番号に似た
        番号の外部送信をみつけるような機器もありますね)で見つかる事無く、送信できる。

        • by Anonymous Coward

          そんなに難しいことをしなくても、サーバに情報を送るだけなら1ピクセルの透明画像貼り付ければOKですよ。
          POST以外でも情報を送る事は可能です。分割すれば大容量にも対応できます。HTTPSならさらに安全です。
          昔から色々な所で使われてる技術です。え?ブロックされている?じゃ、2ピクセルで。

        • by Anonymous Coward
          POST先をiframeにでもしておけばページは切り替わらないので、今でも似たようなことはできます。
          どのみち騙すのであれば「JavaScriptによってファイルを読み取る」という部分が真実である必要は無い訳です。
          騙されるのはそれが本当かを確認する為の知識も手段も持っていない人でしょうから詐欺広告は打てますよね。

吾輩はリファレンスである。名前はまだ無い -- perlの中の人

処理中...