Sicherheits-Risiko WebGL: Kein Support durch MS

Der Software-Konzern Microsoft sieht den neuen 3D-Grafikstandard WebGL als Hort zahlreicher neuer Sicherheitslücken an. Das Unternehmen wolle ihn daher in seinen Produkten nicht unterstützen. Das geht aus einem aktuellen Blog-Posting eines Mitarbeiters von Microsoft Security Research & Defense hervor. Man sehe zwar den Bedarf für eine solche Technologie, allerdings müsse die Sicherheit Priorität haben. Hier sieht man bei WebGL allerdings große Probleme, die die Vorteile letztlich klar aufwiegen. So sieht man es beispielsweise als Problem an, dass WebGL Codes aus dem Netz einen recht uneingeschränkten Zugriff auf die Hardware eines Rechners anbietet.

Hier sei es zwar durchaus möglich, zusätzliche Schranken einzuführen. Dies müssten allerdings die Hersteller der jeweiligen Grafikkarten-Treiber tun, die sich mit einer solchen Situation bisher noch nie auseinandersetzen mussten. Daher sei das Risiko, dass Malware sich hier einen Angriffsvektor sucht, sehr groß.

Aus Sicht eines Browser-Herstellers sieht Microsoft aufgrund dieser Lage weitere Probleme auf sich zukommen. So sei man hier selbst zu Abhängig von den jeweiligen Drittanbietern, die die Treiber bereitstellen. Wenn etwas passiert, würde dies schließlich wohl auch auf den Anbieter des Browsers zurückfallen.

Es wäre auch schwer, auf bekannt werdende Sicherheitslücken zu reagieren. Immerhin gibt es aktuell noch keine automatischen Update-Prozesse für Grafikkarten-Treiber. Alternativ wäre es vielleicht möglich, als unsicher eingestufte Konfigurationen für den WebGL-Zugriff zu blockieren, allerdings sei zu befürchten, dass die Nutzer dann versuchen, die Sperre zu umgehen.

Aktuell seien außerdem weder die Betriebssysteme noch die Grafikkarten-Treiber darauf vorbereitet, simple DoS-Angriffe über die WebGL-Schnittstelle abzufangen. Angreifern würde es so möglich gemacht, mit entsprechenden Skripten PCs lahmzulegen und zum Absturz zu bringen. Webgl, Webstandard, Khronos Group Khronos Group