Vlákno názorů k článku Google: otevřeme v Česku pobočku od Radka - Neznam bezpecnost, ale znam javu a ja mu...

Neznam bezpecnost, ale znam javu a ja mu rozumim, vy ne? Zda se, ze ne :)))) Tak doporucuji treba tohle http://www.javaworld.com/javaworld/jw-08-1997/jw-08-hood.html

JJ, myslim ze by mel jackoffovat v jine webove prezentaci na jinem meetingu..

Myslíte, že mají vycházky...?

1) NIKDY mi js aplikace nenahraci plne funkcniho klienta. JS je paskvil pokud jde o psani aplikaci. Na to ten jazyk nebyl stvoren a ted by snad v nem Google snad chtel psat i OS. Obrovska vytka i z pohledu bezpecnosti je to, ze hracicky jako VBSript, JS apod nejsou silne typovane a diky ruznym formam utoku na parsing je pomerne snadno prolomitelny. A Google zatim mam naprosto min. vyresene automation testy, ktere jsou zakladem pro whitebox testing, ktery v tomto pripade je zcela zasadni.
2) Pokud budu pouzivat neco jineho nez Office, tak to 100%!!! nebude Google ale kdyz uz, tak OpenOffice, ktery uz asi 3 roky spokojene pouzivam a ktery je napsany opravdu dobre a v kvalitnim jazyce jako je Java.
3) JS je apriori nebezpecna volba na vetsi internetove aplikace. Koncept jeho ochrany je dost silne svazan s tim, ze neni mozne evalovat jeho beh za kompilace a mit jakasi metadata, co prezentuji jeho pozadavky na Sandbox v podobne permissions. Tim se z neho stava ad hoc jazyk, ktery je velmi snadno napadnutelny a jehoz bezpecnosti otestovani bez automation testu je nemozne. A i v pripade automation testu je to skoro nemozne, protoze se vam tvori faktorial kombinaci prostredi, na kterych ma JS bezet a na kterych je nutne jej testovat s ohledem na ruzne variace utoku. Neboli JS je prakticky neotestovatelny pro vetsi aplikace a proto je idealnim mistem pro utok.

Nebudu tady psat vic, vyslo o tom i od nas mnoho publikaci na tema nebezpecnosti JS pro aplikace. JS je dobra vec na malickosti ale silenost na aplikace.

Aha, a kdo posoudi kdo je zkusenejsi? Ten kdo ma vetsi portmonku?

Tohle jsou jen reci a dost mimo. ja teda naprostou souhlasim s tou poznamkou od activex a aplikacich i v jave, co by mely mit vetsi prava nez nejaky blby aplet. V bezpecnosti delam 12 let a resili jsme tisice pripadu i u soudu, kdy jsme delali jako soudni znalci expertizu na ruzne dialery apod. A takove jsou jak ciste COM/ActiveX tak i pseudo, nebo jary, co se tvari jako podepsany dobry sw a pritom vam nahodi nejakeho trojana a nebo sami provedou nejakou svinarnu.
Takze pokud Google pojede timhle smerem, udela stejnou chybu jako MS a bezpecnostni firmy se do nej pekne vobuji.

Toho bych se vubec nebal, tedy tech pocitacu za 100$. Intel na tom silene pohorel a kde je jim konec?
Osobne me spis desi vytvarejici se monopol Google, ktery se stava druhym MS, tohle osobne vadi me.
A to s tim Writely a Spreadsheets si primo koleduje o vazne bezpecnostni problemy. Jakmile je cokoliv integrovano do webu a poskytuje to vyssi bezpecnostni prava nez nejaky zakladni applet, tak to dopadne spatne. Dukazem toho jsou ruzne ActiveX, plugin apod. Proto ja jsem v tomto skepticka a rozhodne bych si nic nenechala integrovat s prohlizecem na urovni prav zapisu na disk, to si pak koleduje o super problemy ;-)