Názory k článku
Novinka v Chrome 139: vlastné CSS funkcie

Já si dovedu představit leccos pokud o tématu nic nevím. Nebo tedy spíš právě proto :-)

Ona mi v podrobném studiu problematiky trochy brání skutečnost, že odkazovaná stránka je závislá na jakémsi javascriptu z domény, která se našim administrátorům nezdála vhodná na whitelistaci, a mně zase za to, abych to podrobně zkoumal. Čili jsem vycházel jen z příkladu ve zprávičce.
Nicméně: pokud to bude umět z dostupných parametrů CSS spočítat nějaký otisk, určitě se najde cesta, jak ho dostat na server.
Čímž stále netvrdím, že jsou jednodušší cesty...
Spíš se obávám, že nám bezpečáci začnou krom JavaScriptu blokovat i styly.

Já jsem ale nepsal o tom, že by to šlo bez CSS. Ptal jsem se vás na to, jak by to šlo s CSS bez uživatelských CSS funkcí. Protože pokud to jde i s CSS bez uživatelských funkcí, je váš komentář jaksi zbytečný.

Já si dovedu představit i placatou Zemi. Ale to, že si dovedu nějaký nesmysl představit, ještě neznamená, že bych o tom musel psát komentáře do diskuse.

Autorství toho, co uvádíte jako lidové moudro, se obvykle připisuje Williamu Wilberforceovi.

Díky za uvedení možného autora onoho moudra.

Ty uživatelké funkce to minimálně poněkud zjednodučují, protože umožňují počítat - ostatně podobně, jako výše zmíněné calc().
Věřím, že spousta triků se dá realisovat i s čistým CSS, ale tohle některé věci dost usnadňuje - ostatně usnadnit používání byl zřejmě účel.
Čili ono potenciální další bezpečnostní riziko, zmíněné na počátku tohoto vlákna, může spočívat i v tom, že místo několika plnokrevných hackerů se tomu začnou věnovat tisíce CSS-kiddies, a kvantita převáží kvalitu.

Že já nejsem žádný hacker, programátor, ani znalec tajů CSS, je snad zřejmé, takže očekávat, že k čerstvé novince vysypu z rukávu alespoň PoC reálné nové hrozby je poněkud zbytečné - ostatně stejně zbytečné, jako na mou neschopnost něco takového z rukávu vysypat poukazovat.
Desítky tisíc lidí se bojí létat, stovky z nich mají povědomí o tom, jak se pilotuje letadlo, ale jen málo kdo z nich je licencovaný pilot nebo to alespoň skutečně umí. ;-)

Ano, tohle věci usnadňuje, takže není žádné nové bezpečnostní riziko. Ale neusnadňuje to způsobem, který by jakkoli pomohl script-kiddies, kterým je navíc nějaký fingerprinting prohlížeče úplně ukradený.

Že já nejsem žádný hacker, programátor, ani znalec tajů CSS, je snad zřejmé, takže očekávat, že k čerstvé novince vysypu z rukávu alespoň PoC reálné nové hrozby je poněkud zbytečné - ostatně stejně zbytečné, jako na mou neschopnost něco takového z rukávu vysypat poukazovat.
Nebylo tím pádem zbytečné, že jste se k tomu vůbec vyjařoval?

Však taky moje (první) odpověď byla ve smyslu: může to bý nebezpečné, ale bude to spíš otravné.
Vlastně nevím, proč zrovna po mně chcete, abych vymyslel zranitelnost (a dokazoval, že bez toho by tam nebyla...)

Ostatně soudím, že v diskusi pod stručnou zprávičkou se mohou vyskytovat laici, a vyjádřit svůj názor či obavy. Možná by bylo lepší ty obavy dobře vyargumentovanými odpověďmi vyvrátit, než poukazovat na diskutérovu neznalost - tím totiž ty obavy spíš přiživíte. ;-)

Vlastně nevím, proč zrovna po mně chcete, abych vymyslel zranitelnost (a dokazoval, že bez toho by tam nebyla...)
Protože jste cítil nutkavou potřebu se k bezpečnosti vyjadřovat.

Ostatně soudím, že v diskusi pod stručnou zprávičkou se mohou vyskytovat laici, a vyjádřit svůj názor či obavy.
Aby to byl názor či obavy, muselo by to být založeno na nějakém racionálním základě, na nějakých nenulových znalostech problematiky. Pokud je to založeno na tom, že o tom dotyčný laik absolutně vůbec nic neví, pak to není vyjádření názoru či obavy, ale vyjádření hlouposti.

Vyvracet ty obavy? Takže začít tady vysvětlovat, co je webový prohlížeč, co HTML, co CSS? K čemu by to bylo?

A že tím obavy přiživím? Tak to je diskutér spokojen, ne? Vždyť právě o to „mít obavy“ mu jde především, zdá se mi…

Pokud ten dotyčný laik (který) absolutně vůbec nic neví mám být já, pak si dovolím podotknout, že něco málo o tom přeci jen vím.
Rozhodně dost na to, abych poznal, že na praktické provedení nějakého přenosu pomocí CSS nejspíš nemám dostatek zkušeností (byť si stále myslím, že by to šlo), a na odrážení osoblivých poznámek dostatek trpělivosti. ;-)

Autoři těchhle vychytávek o jejich bezpečnosti samozřejmě přemýšlejí. Na rozdíl od diskutujících, kteří vystřelí první, co je napadne, přitom nemají ani základní představu o těch technologiích.

Jasně takových autorů co myslí na bezpečnost jsou mraky a podobné kecy, jak myslí na bezpečnost jsme už taky slyšeli mockrát. Pak najednou všichni jenom čumí.