Почему браузеры разрешают скриптам доступ к полю пароля?

Question

[dollar]

Для поля пароля сейчас возможно определить событие onkeydown, onkeypress или onkeyup, а также напрямую считывать значение (.value).

В результате (почти) любое браузерное расширение может узнать пароль от любого сайта.

Разве с точки зрения архитектуры браузера не проще было бы изолировать всё, что касается авторизации на сайтах? Как вариант - сделать отдельный тип разрешения для расширений, например, назвать "доступ к паролям" (для всяких там менеджеров паролей). А остальные расширения, без этого разрешения, не должны иметь доступ к паролям.

Answer 1

[Алексей Лауд]

Потому что, например, вам может понадобиться отправлять эти данные с помощью js на сервер без перезагрузки страницы. Или хотя бы валидировать. Поле с типом password – такое же поле, как и text, оно защищает только от того, что кто-то рядом с пользователем увидит, что введено.
Для того, чтобы эти данные были в безопасности, браузер предпринимает разные меры – не разрешает выполнять js из адресной строки, предотвращает инъекции скриптов, предупреждает, когда вы устанавливаете дополнения, что они будут иметь доступ к вашим данным и т.д.
То есть в обычном варианте на страницу какого-либо сайта не попадет никакой скрипт кроме того, который туда поместят те, кто его делают. А в таком случае это безопасно.

Насчет разрешения "доступ к паролям" – никто не запрещает сделать заявку ко всем основным браузерам с тем, чтобы это реализовали. Если это будет на самом деле востребовано, вполне же может появиться.

Answer 2

[Юпитер Макс]

а как вы узнаете чужой пароль? браузер покажет вам фактическое значение value. Он же не показывает вам то значение, которое вводится юзером на другом компе

Comments

[dollar]

В теории вредоносное расширение, выдающее себя за мирное, может получить доступ к любым данным сайта, в том числе к паролям, если юзер его установит.

[WapSter]

Но это значение можно отправить через аякс, где оно сохраниться.

[Талян]

Ребят, вы о чём? Автор одно спрашивает, вы другое отвечаете. При чем тут второй комп? При чем тут аякс? Перехват на onkeydown делается до всяких обработок!

[WapSter]

Анатолий, "браузер покажет вам фактическое значение value. Он же не показывает вам то значение, которое вводится юзером на другом компе". Объясняю. Делается расширение с событием на перехват клавиш, и значение value можно отправить куда нибудь автору, где аккуратно можно сохранить все введенные ими поля вместе с адресами где он их вводил.

Answer 3

[lamer350]

а смысл? черный рынок данных тоже должен зарабатывать...

Comments

[dollar]

То есть, по-вашему, безопасность бессмысленна? О ней вообще не стоит думать?

[profesor08]

dollar, именно, если ты самолично доверяешь свои данные сторонним людям. Установил расширение - доверил данные, взял барузер - доверил данные, включил комп - доверил данные. Если тебе не надо ни за что платить, значит товар это ты.

[lamer350]

dollar, нельзя говорить о какой то безопасности когда вы используете чужое ПО, хотите безопасность - сделайте свой браузер, свой протокол интернета, свою OS... Поверьте, есть тысяча способов спарсить пароль помимо этого, за который вы переживаете.

[dollar]

Свой браузер была мысль сделать. Но с виду это довольно неподъемная и неблагодарная задача. Так что если бы ни эти два пункта, то с удовольствием.

[lamer350]

dollar, ну есть браузеры которые стоят по 500$ и люди вполне благодарны и готовы платить)