Alles anzeigenDie 1990er haben angerufen, sie wollen ihre hoffnungslos überholte Sichtweise zurück.
Im Ernst, das ist uninformiertes Stammtischgerede. Das Problem ist nicht JavaScript oder Web-APIs, sondern ein in Chromium implementiertes zweifelhaftes Verhalten, sei es nun bewusst oder versehentlich. Ich habe mir die Diskussion im Chromium-Bugtracker nicht bis zum Ende durchgelesen. Fakt ist zum einen, dass JavaScript ein integraler Bestandteil der Webplattform ist, wie HTML und CSS, und zum anderen, dass Sicherheitslücken immer wieder auch in ganz anderen Teilen der Webplattform existieren. Auch CSS, XSLT oder sogar manipulierte Bilder sind keine so extrem seltenen Angriffspunkte. Ich empfehle, sich mal damit zu befassen, was für Sicherheitslücken Browserhersteller mit jedem ihrer Updates beheben. Die CVEs sind ja öffentlich.
Nein, das stimmt nicht. Zum Auslesen ist eine Berechtigung erforderlich.
Das ist der entscheidende Unterschied: User-Interaktion. Es ist vollkommen in Ordnung, den Browser etwas in die Zwischenablage schreiben zu lassen, wenn der Nutzer dies explizit wünscht. Die Sicherheitslücke aus Chromium existiert in Firefox jedenfalls nicht. Und Firefox erlaubt außerdem nur das Schreiben von Text via writeText() in die Zwischenablage. Die write()-Funktion zum Einfügen beliebiger Inhalte, welche in Chromium ebenfalls betroffen ist, ist in Firefox standardmäßig deaktiviert und muss vom Nutzer selbst erst über eine versteckte Einstellung aktiviert werden.
Hier kannst du es ausprobieren:
Ein echtes Paste unattended via Javascript. https://jsfiddle.net/zm490d6a/
Was aber der brave Chrome macht ist, dass er um Erlaubnis fragt.
Wäre wirklich interessant.
