Názory k článku
Microsoft nechce podporovat WebGL

Tak jsem si to přečetl a dozvěděl jsem se, co už jsem věděl: Existují bezpečnostní rizika při použití současné verze WebGL.

Totéž si říkám již mnoho let, kdykoliv stahuji do Widlí z jakési stránky (protože neexistuje balíčkovací systém) binární(!) soubor s názvem setup.exe apod., který si pak může s mým PC dělat naprosto cokoliv. Ale to je přece normální, že? Proč to asi Mrkvosoft nepřestane podporovat stejně jako WebGL?

Uvědomte si, prosím, jednu zásadní věc: Pokud chci mít na webu a nejen tam 3D grafiku, VŽDY to bude vzhledem ke komplexnosti této úlohy potenciální riziko a příležitost pro hackery. Znamená to snad, že se vzdáme akcelerované grafiky?

Ať si Mrkvosoft a jiní přijdou s jakýmkoliv řešením (např. pluginy, silvershity aj.), bude to O TOMTÉŽ RIZIKU! Takže mi nezbývá, než opět konstatovat, že jde jen o ZÁMINKU, jak opět {jako již mnohokrát) zničit výbornou technologii v zájmu svých zisků a prosazení vlastních, patentovaných a 10x děravějších řešení.

Opravdu nechápu, který můj argument je na hlavu postavený.
Na Linuxu si 99% programů stáhnu z DŮVĚRYHODNÝCH repozitářů a navíc 99% z nich NEMÁ BINÁRNÍ instalátor. Na Widlích si naopak 99% programů stáhnu z víceméně NEOVĚŘENÝCH zdrojů a 99% z nich MÁ BINÁRNÍ instalátor.
Tak nevím, kdo z nás dvou vidí jen to, co chce vidět.

Pokud jde o 3D grafiku na webu, jediným důvodem, proč je nyní zranitelná, je její mladost a větší složitost. Až se nasbírají zkušenosti, bude stejně bezpečná jako 2D grafika nebo jakékoliv binární pluginy třetích stran. Musí se jen chtít a to je právě to, co Mrkvosoftu vytýkám. Co mu brání, aby na vývoji a zabezpečení WebGL spolupracoval?

Odpověď na poslední otázku nám dá čas (podle mne krátký), kdy Mrkvochvost odhalí karty. Zatím se objevují první neoficiální vlaštovky, jako např. Kit3D pro Silvershit apod.

Jestli Tě zajímá historie, přečti si něco o OpenGL a DirectX v jeho počátcích. Moudré přísloví říká: "Kdo zná historii, zná i budoucnost".

Je to asi zbytečné, ale znovu to zkusím:
Ve Widlích 99% uživatelů klikne na setup.exe, stažený odkudkoliv, a spustí tak potenciálně jakýkoliv neověřený binární kód, který se tam skrývá. To, že tam je "jen" ZIP a MSI balíček, si právě jen myslí (ikdyž spíše je jim to zcela fuk :-)).

Pokud jde o WebGL, stále jen opakujete mantru (stejně ochotně jako Mrkvosoft a možná i jiní), že je to velice špatně napsaná specifikace a musí se od základu přepracovat. Na "podporu" svého tvrzení přihodíte JPEG obsahující spustitelný program. Tak tímhle argumentem mohu nařknout z nebezpečnosti jakýkoliv grafický program pracující s JPEGem :-D.

Mrkvosoft nemusí a ani nemůže (naštěstí) ve specifikaci WebGL nic měnit, může ale spolupracovat na odstranění bezpečnostních rizk spojených jak s WebGL, tak s 3D grafikou v prohlížeči v jakékoliv formě. A to on dělat nechce, raději plive a zveličuje problémy jiných. Jako vždy, když mu ujel vlak a někdo jiný by mu mohl ukrást potenciální zisky z patentované technologie a vůbec ohrozit jeho dominantní postavení žáby na prameni světového SW.

Pokud to chcete opravdu vědět, tak mnohem více věřím nativní zadrátované funkcionalitě v prohlížeči, než pluginu, který může opravdu vše, nehledě na to, že mi jej mohl útočník podstrčit. Byl bych blázen, kdyby tomu bylo jinak. Btw, oním "každým WebGL elementem" patrně myslíte tag <canvas>, běžně v HTML5 používaný i na 2D grafiku, jiný tam totiž v souvislosti s 3D není.

Na závěr řečnická otázka, týkající se bezpečnosti jak pluginů tak instalátorů typu setup.exe: Pod jakými právy pracuje 99% uživatelů Widlí a proč? :-)

Bezpečnostní rizika WebGL nejsou vinou specifikace, ale implementací driverů a samotných OS. To, že Microsoft dobrovolně opustil ARB, ze které později vznikl Khronos Group bylo jejich vlastní rozhodnutí a to že IE nebude WebGL podporovat je jen další ukázkou jejich špatného přístupu k webovým technologiím.

Varování je podle Vás efektivní ochranou? Jistě myslíte onu otravnou "tabulku", kterou BFU odklepne, aniž by uvažoval, proč mu tam zrovna vyskočila :-))).

"Špatně napsaná specifikace" - to je právě ta mantra, kterou Vy a pár bezpečnostních expertů a velkých firem (stručně řečeno: TI, KTERÝM SE TO HODÍ) pořád opakujete.

WebGL není v podstatě nic jiného než do javascriptu zabalené API pro volání 3D-grafických procedur. Z hlediska bezpečnosti je úplně jedno, že vychází z OpenGL a ne z pozdější proprietární příšernosti zvané DirectX. U jakékoliv podobné funkcionality se někde uvnitř MUSÍ volat drivery a jiné binární kódy. A pokud jsou špatně napsané, může být problém.

Právě jsem se kouknul na Vámi zmíněný Silverlight 5 (tak šídlo už je z pytle ven!) a myslím, že tento odkaz hovoří za vše (LOL):
http://connect.microsoft.com/VisualStudio/feedback/details/676134/dos-vulnerability-in-silverlight-5s-3d-similar-to-webgl-dos-vulnerability

Opravdu jsem nečekal, jak rychle se má slova vyplní. Nezlobte se, ale nedá mi to, abych neparafrázoval Vaši poslední větu:
"Podstatou věci je fakt, že Mrkvosoft chce protlačit svůj 3D-plugin, který je špatně napsaný a nebezpečný" :-))).

Zkuste si soudy o tom, kdo co kdy programoval, nechat k pivu do hospody a netahejte je do diskuze misto faktu.

Já mám za sebou několik velkých projektů v OpenGL a dale jsem se v posledni dobe dost intenzivne zabyval WebGL. Kdysi jsem si jen tak pro srovnani neco maleho zkusil v DirectX a dekuji, jiz nikdy vice. To, ze DirectX neni jen DirectX bohuzel vi kazdy, kdo se kdy musel prohrabavat mnoha verzemi ruznych Direct??, ktere kdy Mrkvosoft vyplodil.
A pokud tvrdite, ze OpenGL nebylo navrzeno na bezpecnost ale na vykon a u DirectX je tomu naopak, pak de facto priznavate, ze OpenGL ma vetsi vykon :-))).

Uvedomte si, ze nedavny pripad ukazuje, ze STEJNOU CHYBU, JAKA BYLA ODHALENA U WEBGL, MA I "UZASNE BEZPECNY" SILVERLIGHT.
Takze se v praxi ukazuje totez, co tvrdi vsichni, kdo nejsou zavisli na Mrkvosoftich technologiich: Velke reklamni kidy o tom, jak je bezpecny, vykonny, komfortni ... a skutek opet utek. Zato plivat na mnohem lepsi technologie, vypoustet hoaxy o patentech, ktere porusuji apod., to jde Mrkvosoftu mnohem lépe nez programovani.

Kazdy, kdo sleduje deni kolem sebe, vidi, ze Mrkvosoft kolem sebe kope, protoze je bit jak zito. Google a Apple jej pekne valcuji. Kdyby nevybiral desatky z kazdych Widli, nehrabal dolary na smesnych patentech a nekoruptoval rozhodujici lidi, tak je z nej davno marginalni zapomenuta firmicka.

Určitě nikdo z nás nechce hnidopišit na nějakém tom procentu. FAKTEM je, že narozdíl např. od Linuxáků je procentní podíl Widláků používajících nejvyšší oprávnění pro běžnou práci MNOHONÁSOBNĚ VYŠŠÍ. A důvod je dán historicky ve zmršené víceuživatelské podpoře ve Widlích.
Neběžet pod adminem považuje za velice prospěšné pro bezpečnost naprostá většina lidí, včetně bezpečnostních expertů Mrkvosoftu. To, že to není všespásné, je jim také jasné. Kdyby se mi chtělo, přihodl bych kupu odkazů, ale přijde mi to k takové samozřejmosti zbytečné.