Леонид Каганов: дневник

Представьте, что вы разработчик банкоматов. Но случайно выяснилось, что банкомат вашей конструкции имеет одну особенность: если к нему подойдет человек в сомбреро и одном красном валенке на левой ноге, банкомат распахнется и вывалит на асфальт все деньги. Ваши действия? Нормальный человек срочно ремонтирует банкомат. Ненормальный — банкомат не трогает, а вместо этого он издает закон, запрещающий носить сомбреро и валенки, а около каждого банкомата ставит круглосуточный пост вневедомственной охраны, чтобы отгонять всех странно одетых людей.

Такова идеология корпорации Майкрософт — это она внедрила в общественный мозг мысль о необходимости в системе антивируса. Зачем антивирус системе? Почему антивируса нет для видеокамеры, ТВ-декодера, Линукса, BSD, Макинтоша? Я понимаю, зачем антивирусные вакцины нужны в медицине — мы пока не умеем править человеческий организм. Но зачем антивирус творению человеческих рук? Нормальные люди предпочитают латать дыру в заборе, а не ставить возле нее будку охранника.

Одна из самых знаменитых дырок Internet Explorer известна уже много лет. Как гласит знаменитая статья о безопасности, "Особенность отображения изображений не нова, и возможность осуществления атаки XSS через картинку была известна давно. Но поскольку в новой версии браузера Internet Explorer 7.0 данная особенность была проигнорирована, это дало повод подойти к данной проблеме снова." Выражаясь простым языком, IE имеет свойство, открывая картинки, выполнять код, если он в ней находится. Там, где Firefox или Opera покажут, например, черный пиксель, IE выполнит любые инструкции — покажет картинку, споет песенку, запустит бегать ежика, а заодно — сдаст ваши парольные данные сессии на том сайте, где висит картинка, куда угодно. То есть, если эта картинка висит в форуме, блоге, и у вас там есть авторизация — она в опасности. Глупо требовать от разработчиков всех сайтов мира, чтобы они оберегали вас от картинок злоумышленников и шутников — ведь это ваша проблема, если вы используете неисправный браузер. Неисправных браузеров 70% в мире? Извините, это проблема 70% владельцев. Если у вас IE, полюбуйтесь:

http://p-userpic.livejournal.com/73887779/15402874

Владельцы остальных браузеров по ссылке могут не ходить — они не увидят там ни летающих бабочек, ни бегающих ежиков.

Я не понимаю одного. Это просто. Это дико просто. Это элементарно и доступно ребенку. Почему столько лет никто не кричит на всех перекрестках о том, что браузер IE взламывается мизинцем левой руки?