Javascript 2016 - funkcionální, stabilní

Chcete se dozvědět více o programování webu v JavaScriptu, jeho možnosti, zákoutí a taje? Chcete umět vytvořit moderní single page webovou aplikaci? O tom všem se můžete dozvědět v sérii přednášek pořádaných GDG ČVUT na FIT ČVUT v Praze. První z nich odstartuje Daniel Steigerwald, významný speaker, školitel, ale především velký odborník na moderní webové technologie již 5. dubna v 18:00 a bude se věnovat JavaScriptu v roce 2016, jeho možnostem a moderním způsobům vývoje v něm.

Více informací na webu GUG.cz.

Vstup je zdarma, ale po předchozí registraci.

3.4.2016 22:11 | Gug.cz | Pozvánky

Komentáře

[Jardík]

Škoda jen, že ty moderní weby pak bez javascriptu vůbec nefungujou.

[Bill Gates]

V čem je to škoda?

[Hans1024]

Ja bych nerekl, ze je to skoda, spis je to dementni idiocie.

"Chces si zobrazit textovou informaci a par obrazku? Tak si spust tuhle hromadu obfuskovaneho kodu. Neboj, nam muzes verit, ten kod dela presne to co rikame, urcite nebude sledovat co delas a snazit se te identifikovat, urcite nebudeme vyuzivat tvuj komp k nasim nekalym ucelum, a urcite se nepokusime exploitnout jeden z tisicu bugu, ktere ve tve monstrozni giganticke implementaci interpretu/kompilatoru nepochybne jsou."

[Bill Gates]

Jak pisu o prispevek nize, je to o programatorovi a jeho rozumu, coz casto po pohledu do kodu obvykle postradam a skoro pravidelne to sleduji u cerstvych studentu vyjitych z IT VŠ (i vyjimky existuji) s dobrou teorii ale postradajicich praxi castokrat jeste k tomu s hodne velkym egem.

Webaplikace pouzivajici JS lze napsat i prehledne, bez obfuskovaneho kodu, s moznosti se podivat a za kratkou chvilku pochopit co to presne dela. Kdo je prase, dela z principu zprasene vysledky prace. Kdo neni prase, dela to i kvuli sobe, aby aplikace jela nejlepe vsude, aby i on sam jako vyvojar mel kontrolu nad tim co to dela, mel moznost rychle opravy a aby s tim mel co nejmin problemu = vysledek vyse zminene praxe.

[Hans1024]

Je sice hezke, ze nekteri lidi neprasi, ale to nezmeni muj nazor na JS v prohlizeci, stejne jako osviceni diktatori nezmeni muj nazor na diktaturu. Distribucni model JS je z principu nebezpecny. Ja se muzu podivat na kod, co je na nejake strance, ale ta ho muze kdykoli zmenit, nebo jinym lidem ukazovat neco jineho. Browser spusti vsechno co stahne z jakehokoli zdroje a spoleha se na sandbox. A pripadne smirovani se ani nijak omezit nesnazi.

[kralyk z abclinuxu]

A co vlastně navrhuješ? Jestli "nepoužívat JavaScript", pak se obvávám, že to pro 90% lidí nebude řešení. Úplně nevidim jiné prakticky funkční řešení, než právě spoléhat se na sandbox a důsledně ho testovat, což zatím funguje IMHO celkem dobře.

[Hans1024]

Je tezke se z tehle situace vyhrabat, protoze souvisi s celkovym pristupem obrovskeho mnozstvi vyvojaru. V drtive vetsine pripadu je pouziti javascriptu zbytecne. Nemam tuseni, jestli ma cenu se snazit presvedcovat autory webu, nebo to tlacit nejak pres prohlizece. Jedna vec, kterou autori prohlizecu muzou udelat, je zkrouhnout API - treba zminovane sledovani kurzoru mysi je naprosta silenost, ale nanestesti velky podil u prohlizecu ma Google, velky zastance smirovani a presunu vseho na web. Cil Googlu je v tomto opacny nez muj a ma k tomu nekonecnekrat vic prostredku.

Jak rikam, je to o celkovem pristupu vyvojaru, ktery navic vyhovuje nekterym korporacim, proti necemu takovemu se bojuje tezko. Dalsim problemem je, ze nejvic mimo jsou netechnicti uzivatele, kterych se to nejvic tyka. Vzhledem k tomu, jak se zvysuje zavislost vseho na technologiich, si myslim, ze jednoho krasneho dne lidi na svou nezodpovednost doplati obrovskym pruse*em.

[kralyk z abclinuxu]

Jedna vec, kterou autori prohlizecu muzou udelat, je zkrouhnout API - treba zminovane sledovani kurzoru mysi je naprosta silenost

Wot? V čem je to naprostá šílenost? Opravdu mi není jasné, jak bys to chtěl využít. Jakákoli uživatelská interakce s danou stránkou se mnohem snáz monitoruje jinak a mimo stránku nemá javascript o kursoru informace.

To už bych si spíš stěžoval na fingerprinting, v tomhle ohledu toho javascript poskytuje celkem hodně, nicméně pokud máš, jako většina lidí, povolené cookies, opět javascript v tomhle ohledu zas tak moc navíc IMHO neposkytne.

Vzpomínáš na toplist.cz? Stačilo, když si stránky přidaly malé gifko od nich, a už sbírali statistiky...

[Hans1024]

"Fingerprint" ma prohlizec, pohyb mysi pomuze identifikovat primo cloveka, co prohlizec pouziva. Spatne navrzene jsou samozrejme i ostatni veci, ktere pomahaji s identifikaci.

[kralyk z abclinuxu]

"Fingerprint" ma prohlizec, pohyb mysi pomuze identifikovat primo cloveka, co prohlizec pouziva.

[citation needed]

[Hans1024]

Netusim, jake chces citace. Rekl jsem neco, co neni zjevne? Neveris, ze funguje analyza chovani? Nebo neveris, ze to nekdo pouziva?

[kralyk z abclinuxu]

Rekl jsem neco, co neni zjevne? Neveris, ze funguje analyza chovani?

Ale jistě, ale poměrně podstatná je praktická použitelnost. To máš jako s těma kryptoměnama - jasně, že teoreticky je možné použít JS na těžení, ale nikdo to reálně dělat nebude, protože to prostě je naprosto naprd z praktických důvodů. (Mohlo by to změnit WebCL, ale to zatím žádný browser AFAIK neplánuje.) O tom sledování kurzoru si myslím něco podobného. Takže, z mého pohledu, pokud někdo předvede funkční proof-of-concept, můžem se začít bavit. Do té doby to je čirá paranoia.

[Hans1024]

A to je presne ten pristup k bezpecnosti, ktery se jednou vymsti. Delaji to i jine projekty - nereseni potencionalniho problemu, dokud neni demonstrace, kterou hromadne zneuzivaji script kiddies, coz je situace ve ktere je uz tak trochu pozde.

[kralyk z abclinuxu]

Delaji to i jine projekty

Takhle funguje bezpečnost obecně a je to tak v pořádku - když chceš poukázat na bezpečnostní chybu, je potřeba dokázat, že to je bezpečnostní chyba. Což se dá udělat i tak, aby se k tomu script kiddies dostali pokud možnost pozdě.

Kdyby se řešili bezpečnostní chyby, které jsou pouze v něčí hlavě, nedostali bychom se vůbec nikam...

[Hans1024]

Tohle je prave spatna bezpecnost, pasivni fixovani pruse*u. Spravne bys mel podle dostupnych informaci rozpoznat ze nejaka chyba je z "tridy" chyb, ktere muzou byt zneuzitelne, a nikoli cekat, az ji nekdo zneuzije. A taky by ses mel snazit takovym tridam chyb zabranit uz proaktivne pri navrhu programu.

[kralyk z abclinuxu]

Tohle je prave spatna bezpecnost, pasivni fixovani pruse*u. Spravne bys mel podle dostupnych informaci rozpoznat ze nejaka chyba je z "tridy" chyb, ktere muzou byt zneuzitelne, a nikoli cekat, az ji nekdo zneuzije. A taky by ses mel snazit takovym tridam chyb zabranit uz proaktivne pri navrhu programu.

To se přece nijak nevylučuje a taky se o to pochopitelně většina vývojářů snaží, ale průser, který je potřeba fixnout až dodatečně, se většinou stejně najde, tak to prostě chodí.

Řešit věci preventivně je fajn, ale vzít celou jednu užitečnou technologii a zahodit ji do koše jen pro to, že má někdo pocit (důkaz chybí), že by možná mohla být nějak zneužitelná, mi přijde trochu mimo...

[Hans1024]

Problem s pristupem "cekani na dukaz" je taky ten, ze cas a prosrostredky obhajcu soukromi jsou znacne omezene, zatimco korporace maji obrovske prostredky, ktere do zneuziti muzou investovat. Navic jim v tomto pripade pomaha i verejny vyzkum.

[Bill Gates]

... zkrouhnout API - treba zminovane sledovani kurzoru mysi je naprosta silenost, ale nanestesti velky podil u prohlizecu ma Google, velky zastance smirovani a presunu vseho na web.

Predpokladam, ze nejste nucen k navstevovani stranek, ktere sleduji a analyzuji a identifikuji vas podle pohybu mysi. Nicmene mapova aplikace, ktera sleduje pohyb mysi po mape a zobrazuje v jinem grafickem prvku zvetseninu, nebo obecne napriklad funkcnost kdy pohybem mysi po obrazku vidite ve vyrezu vedle zvetseninu by se bez sledovani pozice kursoru mysi obesla tezko.

Veci, ktere se vam zdaji zneuzitelne (a nerikam ze nemohou, ale zneuzitelne je kde co - i sledovani vaseho okna v baraku kdy svitite a v kolik chodite spat a kdy nejste doma) mohou byt v nekterych aplikacich pouzitelne. Pokud by uzivatel zakazal sledovani kursoru mysi v takove aplikaci, prijde o moznost tak nejak pohodlnejsiho sledovani vyrezu. Stale muze stahnout vetsi variantu fotky ale pro nektere je treba mnou popisovana funkce praktictejsi a mohli by byt obtezovani nutnosti hledat kde v prohlizeci tuto vlastnost povolit a nebo by byli obtezovani prohlizecem kazdou pitominou typu chcete pro tento web povolit sledovani pohybu mysi? Ano / Ne.

Neco jako ten EU cookie spam kdy mame weby prekryte debilni hlaskou, kterou neustale dokola na ruznych webech ktere jsme jeste nenavstivili, nebo pri pristupu z ruznych pocitacu, inkognito oken atd, odklikavame s tim, ze rozumim tomu, ze tento web pouziva cookies. No jasne ze pouziva a vim o tom a uz me s tim prosim dopr*ele dohaj*lu prestante otravovat uplne vsude.

Tohle je vicemene vysledek. Klidne at existuje plugin, kde si paranoidni uzivatel zakaze vsechno co zakazat jde. Proc ne. Treba na urovni vlastnosti jednotlivych JS objektu, ale jen at s tim nejsou otravovani vsichni. Viz cookies.

[Hans1024]

Jasne, ze sledovani mysi ma realne pouziti. I zpristupneni vsech souboru uzivatele by melo realne pouziti. I automaticke spousteni automaticky stazenych binarek s maximalnim opravnenim ma pouziti. Jenom si predstavte to pohodli, navstivim www.vlc.com/install a stahne se mi, nainstaluje a spusti VLC player. A spousta lidi uz stejne bezhlave stahuje a spousti binarky.

Je zjevne, ze bezpecnost a soukromi nejsou zadarmo, ale myslim, ze by je uzivatele meli dostat implicitne a nikoli az po ziskani technickych znalosti k vypnuti inkriminujicich featur.

[kralyk z abclinuxu]

No já doufám, že blokuješ i cookies a css + jiné resources z externích domén, které tě mohou sledovat... A které tě sledují s mnohem větší pravděpodobností než nějaké API na sledování myši...

[Bill Gates]

Ja se divim ze vubec chodi na web. Vsichni ho sleduji i tak v logu i bez javascriptu i bez obrazku. Uz jen tim ze tam chodi a stahule ciste HTML a nic dal. Provider ho navic sleduje taky. nepouziva-li https a pokud jo, je to podezrele. Pak sledovat o to vice aktivitu. Paranoia rulez :) Chapu, ale nic se nema prehanet a uz vubec ne vynucovat aby byli paranoidni i jini.

[Hans1024]

Pravdepodobne si neuvedomujete rozsah tohoto problemu. Nikdy v historii nebylo sledovani tak obrovskeho mnozstvi lidi tak snadne. To, ze nad tim vetsina lidi mava rukou neznamena, ze to neni problem. Bohuzel lidska psychika funguje tak, ze se clovek necha ovlivnit vetsinou - byly doby, kdy nekdo, kdo zavrhoval otroctvi byl nerealisticky naivni podivin. Je to sice kontraintuitivni, ale pokuste se nevkladat svou duveru do obrovskeho mnozstvi lidi s prakticky nulovou kompetenci v dane veci.

[Hans1024]

No, jedine pouziti, ktere teba pro cookies mam je, kdyz chci nekde zustat prihlaseny. Ale nemyslim si, ze tato debata je primarne o mne.

[Bill Gates]

Chce to trosku rozumu. Moznost cteni X/Y pozice kursoru nad divem a pristup ke vsem souborum na disku jsou tak trosku na opacne strane spektra nebezpecnosti.

Nemam nic proti pluginu pro paranoiky, ale mam vse proti, aby par iracionalne uvazujicich paranoiku nutilo svou paranoiu implicitne. Treba me klikat a povolovat kazdou micovinu. Ja o to nestojim a tak jak je to nastaveno ted mi to plne vyhovuje. Kdo je paranoidni, necht si stahne paranoiaplugin a zakaze cokoliv. Jeho vec, jeho svobodna volba.

[Hans1024]

Ja si treba umim nastavit ruzne restrikce, ale problem je, ze uzivatele, kteri nejsou prilis technicky zdatni, casto ani o vsech moznostech smirovani nevedi. Muzu si myslet, ze "to je jejich problem", ale ovlivnuje to vsechny, co s nimi interaguji. A nemyslim si, ze je spravne, aby soukromi vyzadovalo takovou technickou zdatnost, jako ted.

[Bill Gates]

Druhou otazkou je jestli o to dotycny stoji. Nic vam jako technicky zdatnemu nebrani radne poucit dotycneho se kterym interagujete a odnehoz unik informaci je pro vas nebezpecny. Pokud nebude mit zajem, jedine co vam zbyva je citlive informace mu neumoznit zneuzit, nebo vubec nedat, neinteragovat s nim. Vubec nic vam nebrani napsat software/plugin, ktery technickou zdatnost technicky nezdatnemu uzivateli poskytne a funkce o kterych si myslite ze dotycny potrebuje a diky technicke nezdatnosti neni schopen si je nastavit mu dany sw nastavit umozni.

Mimochodem je v moznostech cloveka vedet vsechno o vsem? Rekl bych ze ne. Ze by mu z toho mrd*o.

[Hans1024]

No prave proto, ze neni v moznostech cloveka vedet vsechno o vsem, navrhuju implicitni soukromi.

[mirec]

Zakázať javascript globálne, vyžadovať od používateľa explicitné povolenie, keď tam niekto nakydá js z rôznych CDN kľudne klikať aj 135x.

Bežné informačné weby by tak mohli byť bez js, webové aplikácie si pri prvom použití povolím..

[paul2no]

Žere to moc výkonu. Na PC to funguje, ale v mobilních prohlížečích jsou ty přejavascriptované webové aplikace dost problém.

[Bill Gates]

No ... to je spis otazka inteligence progamatora, ktery neumi napsat kratkou strucnou a efektivne fungujici JS funkci pro konkretni vec a misto toho pouzije kvanta priblblych kdo vi kde vygooglenych a kdo vi odkud stazenych zbytnych frameworku a knihoven. Zanese tak do sve webaplikace triliony bugu a dalsi milion nepotrebnych funkci jejichz fungovani diky zapakovanemu JS nikdy neporozumi, ktere se prave postaraji o ono zrani vykonu. Naopak ma zkusenost hovori, ze aktualizovat konkretni kus HTML dynamicky a stahnout si konkretni data potrebna pro aktualizaci obsahu treba v jsonu je pro zatez serveru i prohlizece mnohem efektivnejsi nez reload cele dynamicky generovane stranky kde se muze nachazet pro server rada obtiznych casti. Doufam ze se bavime stale o javascriptu a ne o jave. To je uz uplna katastrofa.

Ohledne funkcnosti .. to neni pravda. To je zase veci programatora. Pokud je liny aplikaci odladit pro konkretni platformu, tak to tam proste nepojede. Z me zkusenosti veskere me webaplikace ktere pouzivaji i kousky JS kodu funguji casto k memu prekvapeni uplne vsude kde se od JS funkcnost ocekava.

Shrnu to: Proste rada lidi rikajicich si programator to neumi spravne pouzivat.

[kralyk z abclinuxu]

Škoda jen, že ty moderní weby pak bez javascriptu vůbec nefungujou.

Hm, ba co hůř, nefungujou pořádně už ani bez HTTP.

[Hans1024]

Opravdu chces srovnavat primitivni textovy protokol se spoustenim nahodnych neproverenych programu v kolosalne giganticke implementaci zbastleneho programovaciho jazyka?

[kralyk z abclinuxu]

Nevim, co myslíš tím srovnáváním, ale v každém případě, ať už si o JS myslí kdo chce co chce, je nedílnou součástí webu, technologie, na které web z velké části funguje. Očekávat všeobecnou funkčnost webu bez JS není realistické.

[Hans1024]

Ja nevim, jestli Jardik ocekaval nejakou konkretni funkcnost, akorat rikal ze je to skoda.

Ja treba k drtive vetsine veci, co na webu delam, javascript nepotrebuju. A tam, kde je JS vyzadovan, by vetsinou nebyl k dosazeni funkcnosti potreba a proto ho kritizuju, jako technicky spatne reseni, zvlast z hlediska bezpecnosti.

Argument, ze JS "je nedilnou soucasti webu", neodebira moje duvody, proc jeho pouzivani kritizovat. Naopak ty duvody spis posiluje. Kdyz neco, co je z meho pohledu hloupost, dela vic lidi, mam prece vetsi motivaci to kritizovat.

[kralyk z abclinuxu]

Ja treba k drtive vetsine veci, co na webu delam, javascript nepotrebuju.

Stejně tak by se našli lidé, kteří nepotřbeují HTTP nebo CSS nebo technologii XY.

jako technicky spatne reseni, zvlast z hlediska bezpecnosti

V čem je špatný z hlediska bezpečnosti? Mně to naopak přijde jako mnohem lepší řešení než dřívější technologie (Flash, JavaApplety), zejémna z hlediska bezpečnosti.

Já teda osobně nejsem žádný extra velký fanoušek JavaScriptu, některé věcí mi tam chybí/vadí, ale celkově vzato mi to nepřijde jako špatná technologie.

Naděje vkládám do WebAssembly, ale to se ti asi taky nebude líbit, předpokládám

[Hans1024]

Tak cast bezpecnostniho problemu je v tom, ze se pouziva tam, kde neni potreba - ke zobrazovani textu, obrazku a videi.

Druha cast problemu je, ze poskytuje prilis velky utocny vektor a muze delat prilis mnoho veci. Umoznit cizim programum delat takove mnozstvi veci je silene, zvlast pri znacne velikosti implementaci interpretu/kompilatoru a rychlosti jejich vyvoje. I za predpokladu, ze se je nepodari zneuzit k exploitu, bezici JS kod toho muze udelat hodne nekaleho, jako sledovani uzivatele nebo nejake vyuziti uzivatelova vykonu/internetu ke svym ucelum.

[kralyk z abclinuxu]

Druha cast problemu je, ze poskytuje prilis velky utocny vektor a muze delat prilis mnoho veci. Umoznit cizim programum delat takove mnozstvi veci je silene

Nevím, co máš přesně na mysli tím "příliš mnoho věcí", každopádně JS skript ti na tvém stroji neudělá vůbec nic a v tvém prohlížeči může něco dělat pouze na stránce, na které byl načten. Takže to je pak spíš otázka, jak moc věříš danému serveru, a tato otázka celkem nezávisí na tom, jestli ty stránky obsahují JS nebo ne...

I za predpokladu, ze se je nepodari zneuzit k exploitu, bezici JS kod toho muze udelat hodne nekaleho, jako sledovani uzivatele

O co tě může JS sledovat víc, než třeba CSS skript nebo obrázek načtený z externího serveru?

nebo nejake vyuziti uzivatelova vykonu/internetu ke svym ucelum

Když si dám na stránku <img vedoucí na 30MB JPEG a ty tam vlezeš, tak ti to taky sežere bandwidth...

[Hans1024]

JS skript ti na tvém stroji neudělá vůbec nic a v tvém prohlížeči může něco dělat pouze na stránce, na které byl načten.

Pouze za predpokladu, ze nikde neni zadny bug. V praxi je JS skvelym nastrojem pri exploitovani prohlizece. Obrovske API pro utocnika, obrovske mnozstvi nepredvidatelnych a tezko testovatelnych stavu, je naivni si myslet, ze vyvojari, kteri pracuji primarne na novych featurach a optimalizacich, neco takoveho zvladnou uhlidat. A JIT kompilace, se svym mapovanim rwx pameti je bezpecnostni katastrofa sama o sobe.

O co tě může JS sledovat víc, než třeba CSS skript nebo obrázek načtený z externího serveru?

Identifikace analyzou chovani, treba sledovani kurzoru mysi.

Když si dám na stránku <img vedoucí na 30MB JPEG a ty tam vlezeš, tak ti to taky sežere bandwidth...

Ale treba bitcoiny si nevytezis.

[kralyk z abclinuxu]

Pouze za predpokladu, ze nikde neni zadny bug. V praxi je JS skvelym nastrojem pri exploitovani prohlizece.

Opravdu? A můžeš to podložit třeba nějakou statistikou, že v JS VM je zneužitelnější pro útoky, než ostatní komponenty prohlížeče? Ber v úvahu, že v minulosti stačily v prohlížeči pro code execution chyby třeba pouze v parsování HTML, dekódování grafiky různého druhu a podobně. Pokud se dobře pamatuju, nemalá část Pwn2Own chyb se obešla bez JS nebo bylo potřeba chyba jak v JS VM, tak i jinde.

Ale treba bitcoiny si nevytezis.

Něco takového by se pravděpodobně nevyplatilo ani Facebooku.

[Hans1024]

Statistiku nemam, ale zneuziti lowlevel chyb by casto zabranily ASLR a no-exec mapping, ktere se ale casto daji obejit prave zneuzitim JIT kompilatoru. Tlaceni JS tam, kde neni potreba, je zjevne nezodpovedne rozsirovani utocneho vektoru. Je pravda, ze jsou i jine casti prohlizece, ktere nezodpovedne boptnaji - souvisi to s celkovym prisupem webovych a prohlizecovych vyvojaru.

[xm]

Např. FBI zneužila chyby v implementaci JavaScriptu ve Firefoxu ke zjištění identity některých uživatelů Toru: Tor security advisory

A takových exploitů bude IMHO dost, teď třeba před soudem FBI odmítá zveřejnit další exploit Firefoxu, který využila k hacknutí více než 1000 počítačů (soud rozhodl, že ten exploit musí předat obhajobě). Skoro bych se vsadil, že to opět bude nějaký exploit v JavaSciptu.

JavaScript prostě poskytuje obrovský potenciál k exploitaci. Třeba Chromium/Chrome má mnohem lépe vyřešený sandboxing než Firefox, ale i tam bych nevěřil tomu, že se nějaký JS exploit (+ sandbox escape) nenajde.

[Radek Miček]

JavaScript prostě poskytuje obrovský potenciál k exploitaci.

To není JavaScriptem, ale jeho implementacemi, jenž kladou vysoký důraz na rychlost místo na bezpečnost.

[mirec]

Existuje niekoľko typov bezpečnostných chýb. Za najnebezpečnejšie považujem chyby, ktoré vedú k vzdialenému spusteniu kódu (hmm nemali by sa vlastne webové stránky, ktoré spúšťajú js kód volať exploity?).

No v každom prípade browser poskytuje skriptom len určité obmedzené prostriedky (rozhranie), ktoré môžu využívať. Kým je všetko bez chýb nemá skript možnosť uniknúť zo sandboxu a robiť si čo chce.

Potom tu máme chyby v rôznych knižniciach (jpeg, freetype ...), ktoré sú zlinkované s kadečím. Aká je vlastne reálna možnosť zneužitia takýchto chýb? V bežných aplikáciách nič moc. Povedzme, že sa nám podarí zapísať pomocou buffer overflowu ľubovoľné dáta na ľubovoľné miesto v pamäti. Ani takáto diera nemusí znamenať možnosť spustenia vlastného kódu pretože na úrovni prístupu k pamäti je stále ochrana, ktorá nedovolí zapisovať na stránky, z ktorých sa spúšťa kód. Na spustenie vlastného kódu musí byť pamäť zapisovateľná a zároveň mať executable flag čo je dosť exotická vec. Používa sa to hlavne pri JIT. Prítomnosť JIT kompilátora v prehliadači môže výrazne znížiť bezpečnosť aj keď sa chyba vyskytne v inej časti.

[kralyk z abclinuxu]

Potom tu máme chyby v rôznych knižniciach (jpeg, freetype ...), ktoré sú zlinkované s kadečím. Aká je vlastne reálna možnosť zneužitia takýchto chýb? V bežných aplikáciách nič moc.

V browseru poměrně hodně vysoká, třeba v IE, ale i v dalších, bylo objeveno množství chyb vedoucích ke code execution pouze v kódu parsujícího HTML a CSS. Paměť s non-execute bitem se dá obejít, viz tady.

Prítomnosť JIT kompilátora v prehliadači môže výrazne znížiť bezpečnosť aj keď sa chyba vyskytne v inej časti.

Souhlasím, nicméně zdaleka to IMHO není důvod pro takovouhle JS-fóbii.

[little.owl]

Naděje vkládám do WebAssembly

+1

[Fordista]

významný speaker

rekl bych, ze inteligence se z hlav lidstva vytraci a je nahrazovana vykriky do tmy ....

[Metatron]

je to významný PC speaker