Le WebGL serait une faille de sécurité à lui tout seul

Le 9 mai dernier, Context, une société spécialisée dans la sécurité informatique, publiait une note sur son site détaillant diverses failles se trouvant dans webGL. Elles permettent de faire planter une machine à distance ou de faire des captures d’écran à l’insu de l’utilisateur. Malgré les efforts de Khronos, l’éditeur de WebGL, c’est un avis qui est de plus en plus partagé.

Chrome et Firefox intègre l’API par défaut. Elle peut être activée sous Safari, mais demande une manipulation de l’utilisateur. Il semblerait que la plupart de ces problèmes soient inhérents aux webGL lui-même. Il ne s’agit pas d’une mauvaise intégration des éditeurs de navigateur, mais l’API qui serait trop permissive. Une vidéo publiée sur le site de la société montre l’exploitation de deux failles de sécurité. La première surcharge la carte graphique et provoque une erreur fatale. La seconde permet d’acquérir des données présentes sur l’ordinateur cible.

La réponse de Khronos ne s’est pas fait attendre, il a expliqué qu’il existe des fonctions contournant ces problèmes, comme la « GL_ARB_robustness » qui permet de prévenir la surcharge de GPU. Il faut néanmoins qu’elles soient utilisées par les fabricants de puces graphiques lors du développement de leurs pilotes. De plus, elle ne répond pas à tous les problèmes. Khronos en est conscient et a annoncé travailler sur d’autres solutions, mais affirme aussi que les failles de Context restent des proof-of-concept. Aucun site ne les exploite pour le moment.

Hier, c’est Microsoft qui a décidé de se joindre à la discussion et il semble pencher du côté de Context. Il dénonce le laxisme de l’API et la dépendance trop importante sur les pilotes des fabricants de cartes graphiques. Redmond s’est donc refusé à le soutenir.

Chris Marrin, un ingénieur chez Apple, a aussi fait savoir au début du mois sur la mailing-list de Khronos que WebGL ne sera pas disponible à tous les développeurs de iOS 5 et sera uniquement réservé au SDK de iAd, l’outil de développement qui permet de créer des publicités pour plateformes iOS. Il n’est donc pas question d’une version de Safari pour iOS intégrant le WebGL. Nous tenons néanmoins à souligner que l’entreprise n’a pas publié de communiqué à ce sujet et qu’elle n’a pas pris de position officielle, comme l’a fait Microsoft. C’est simplement le message d’un responsable sur une mailing-list.

Le webGL est une bibliothèque qui permet d’étendre les capacités du langage JavaScript pour exploiter les puces graphiques des systèmes. Le portage de Quake 2 et Doom sont de bons exemples de ce qu’il est possible de faire dans un navigateur, mais les nouveaux problèmes sécuritaires pourraient ralentir sa popularisation.