Discussion :

[Idelways]

Mozilla s'attaque aux critiques de Microsoft contre WebGL
Et estime que Silverlight s'expose aux mêmes risques

Mise à jour du 20/06/2011


Mozilla réagit à la polémique produite par la récente déclaration assassine de Microsoft contre WebGL, le standard Web de production de graphiques 3D accélérés par la carte graphique.

Mike Shaver, vice-président de la stratégie technique de la fondation, rejette en bloc les critiques de Microsoft en raison desquelles l'entreprise annonce n'avoir aucune intention d'implémenter WebGL sur Internet Explorer (lire ci-devant pour plus de détails sur l'annonce de Microsoft)

Pour Shaver, la question relevée par Microsoft ne se pose même pas quant à la nécessité des capacités 3D pour Web. Il rappelle que c'est justement ce que font le plug-in Silverlight (dans sa version 5) et Molehill, le moteur 3D d'Adobe Flash, qui s'exposent aux mêmes risques que ceux soulevés par Microsoft en permettant au code téléchargé de manipuler des parties sensibles du système.

Mike Shaver estime que tout ajout de nouvelles fonctionnalités à une pile logicielle expose les parties existantes aux contenus potentiellement hostiles, un passage obligatoire qu'ont dû endurer selon lui les « moteurs des polices de caractères, les codecs vidéo, les bibliothèques [de rendus] des images... »

Le temps serait donc venu pour que les pilotes graphiques passent la même épreuve.

Ces risques inévitables seront par la suite « modélisés, compris et atténués » reprend-il, prenant pour exemple les stratégies employées par le navigateur Firefox qui se prive par exemple de l'utilisation de certains pilotes graphiques blacklistés.

L'implémentation de WebGL sur Mozilla Firefox, somme toute expérimentale, vérifie en outre la validité du code source des Shaders, et interdit depuis la version 5 le téléchargement des textures à partir d'un domaine autre que celui qui sert le JavaScript qui les appelle.

Des mesures appelées à être renforcées par d'autres en vue de rendre WebGL une « plateforme plus robuste », promet Mike Shaver qui invite Microsoft à s'engager dans le monde WebGL avant de sceller son sort.



Source : blog de Mike Shaver

Et vous ?

Que pensez-vous des contre arguments de Mike Shaver ?
Quelle position vous convainc-t-elle le plus quand à WebGL ? Celle de Microsoft ou celle de Mozilla ?





Microsoft rejette le standard WebGL jugé « dangereux »
Suite à la découverte de multiples failles critiques sur Firefox



L'avenir du standard WebGL sur Internet Explorer s'annonce très incertain.

Microsoft rejette ce standard d'affichage 3D pour le Web, au moins dans sa forme actuelle qu'il juge « dangereuse » dans une dépêche faisant suite à la découverte de plusieurs nouvelles failles critiques sur l'implémentation de Mozilla Firefox.

Des failles qui pourraient être présentes sur Google Chrome également.

Sur le blog de recherche en sécurité et défense, l'équipe MSRC de Redmond affirme que « le support de WebGL dans les navigateurs expose directement des fonctionnalités du hardware au Web d'une manière que nous considérons comme trop permissive ».

Concrètement, la principale critique de Microsoft à ce standard est qu'il risque de permettre aux pirates de s'attaquer aux faiblesses des pilotes graphiques d'une manière que les navigateurs ne pourront pas atténuer.

Microsoft prend à témoin un rapport de sécurité alarmant, publié hier par la firme de sécurité Context. Ce rapport identifie plusieurs failles de sécurité de ce standard initié par la fondation Mozilla et maintenu à présent par le groupe Khronos.

L'une de ces failles permet le vol de captures d'écran sur Firefox par corruption de mémoire :



Actuellement seuls Firefox et Chrome offrent un support avancé de WebGL, mais ces navigateurs « doivent exposer des parties de bas niveau du système d'exploitation, qui ne pouvaient pas être jusque-là directement exposées aux pages web potentiellement malicieuses », affirment les experts de Context James Forshaw, Paul Stone et Michael Jordon.

De son côté, le groupe Khronos tente de minimiser ces inquiétudes en affirmant que « tous les éditeurs de navigateurs travaillent actuellement pour réussir la suite [des tests] de conformité de WebGL », rejetant ainsi la faute sur les implémentations actuelles, encore immatures.

Khronos fait savoir en deuxième lieu que la faille des captures d'écran sus-citée provient d'un bug de l'implémentation de Firefox ayant été corrigé sur Firefox 5 qui sortira le 21 juin prochain.

Des arguments qui ne convainquent pas Microsoft qui refuse d'assumer un standard « qui deviendra une source permanente de vulnérabilités très difficiles à corriger ».

Microsoft doute de ce fait que WebGL puisse passer les exigences de sécurité de son cycle de développement.
Et prouve encore une fois à travers cette prise de position que le respect des standards n'est jamais sa priorité quand il menace la sécurité des utilisateurs.



Source : Microsoft, Context

Et vous ?

Que pensez-vous de cette décision de Microsoft ?
L'avenir de WebGL est-il menacé d'après vous ?

[cs_ntd]

IE9 Team :

Responsable : "Bon les gars, tous les autres navigateurs supportent WebGL, les gens trouvent ça sympa, il va falloir qu'on s'y mette aussi sous peine de perdre des parts de marché, et il va falloir se retrousser les manches pour rattraper le temps perdu..."

Ingénieur : "Oh, regardez ça : il y a pleins de faille critiques avec WebGL sur les autres navigateurs !"

Responsable : "Bon, le support de WebGL est abandonné, son utilisation est jugée trop dangereuse."

Pour moi, j'ai l'impression qu'ils ont pris la première excuse qu'ils avaient pour justifier de ne pas supporter WebGL

[Neko]

Déjà connaissant MS. WebGL n'aurait pas eu d'accès direct mais serait probablement juste émulé via directX.
Ensuite ya pas moyen de sandboxer tout ça ?

[kain_tn]

Microsoft doute de ce fait que WebGL puisse passer les exigences de sécurité de son cycle de développement.
Et prouve encore une fois à travers cette prise de position que le respect des standards n'est jamais sa priorité quand il menace la sécurité des utilisateurs.

C'est un troll?

Que pensez-vous de cette décision de Microsoft ?

Je perçois cette décision comme une excuse pour ne pas implémenter un standard qui permettrait de faire des jeux réellement multiplateformes, un peu comme ils l'ont fait avec la création de DirectX et le débat qui a suivi: DirectX vs OpenGL. Cette main mise sur le marché du jeu vidéo explique selon moi que Windows soit encore aussi présent chez le particulier aujourd'hui, ou du moins le fait qu'il y soit majoritaire.

L'avenir de WebGL est-il menacé d'après vous ?

Difficile à dire: le truc c'est que les utilisateurs ont le choix du navigateur qu'ils veulent utiliser et ce quel que soit leur OS. Du coup je pense que ça va surtout dépendre de la popularité du contenu proposé en WebGL sur le net...

[grunk]

Ils on encore tout compris chez Microsoft. Plutot que de travailler avec tout le monde sur une implémentation sécuriséé d'une seul et unique standard , on commence par rejeter ce qui existe pour peut être faire un truc bien propriétaire par la suite , qui finira par emmerder tout le monde.
Alors que si y'a quelqu'un qui à les compétence et les finances pour faire avancer le truc c'est bien Microsoft...

Je concluerai par

L'avenir du standard WebGL sur Internet Explorer s'annonce très incertain

[dodelria]

Nan nan nan...

Avant de juger un standart, faudrait déjà l'implémeter correctement sur son propre produit.

Le but de la manoeuvre est de discréditer les concurents, montrer que les innovations non-Microsoftienne sont mal foutus, et puis surtout, montrer que Microsoft privilégie la sécurité et la stabilité plutot que la course folle à "l'innovation", un peu facile, mais puisque maintenant l'informatique c'est devenu de la communication, de la désinformation et la course au monopole, ce type de message passe parfaitement bien.

C'est triste et ca me révolte, parcequ'en informatique, vendre du logiciel n'a aucun sens puisque la production ne consiste que de faire des copier-coller du produit élaboré, puis contrairement au monde réel, il éxiste de vrai possibiltées de création collective, donc appliquer le modèle économique que l'on utilise dans le monde reel est totalement inadapté, l'innovation tel que voulut est pervertit par l'argent, les réalités masquées alors qu'elles ne devraient pas l'être dans un monde virtuel ou les règles fondamentales ne sont pas les même.

[stardeath]

déjà j'aime pas cette idée de développer de l'opengl en javascript, donc perso, pas de webgl, je dis tant mieux.

ensuite quand je vois que le watchdog des pilotes nvidia me sort un bsod puis un redémarrage brutal de ma machine sur un calcul un peu complexe en shader, je suis plutôt d'accord sur le fait que l'accès à la carte graphique par le navigateur est encore un peu trop dangereux.

[sylvain230]

C'est bien dommage qui Microsoft se braque de cette façon.
Ils vont vouloir développer leur Silverlight 5 ? Pas top je crois.

WebGL est très puissant, on peut faire des choses très impressionnantes avec et je suis sur que des internautes y trouveront leur intérêt.

Ce qui gène Microsoft, c'est que WebGL n'est pas un produit Microsoft. Ils veulent juste discréditer leurs concurrents avec des failles qui existent aujourd'hui (normal le produit est nouveau) mais on trouvera bien un moyen de corriger ce problème de deni de service et de buffer. Ce jour là Microsoft s'en mordra les doigts si leur campagne ne marche et IE finira par disparaitre peut être .

[David_g]

c'est amusant comment maintenant absolument tout est un standard.

Sinon je me demande ce qu'aurait été les réactions si la faille WebGL s'était retrouvé sur IE, on aurait eu du : ouais comme toujours Krosoft fait n'imp, sécurité toussa.

[kain_tn]

c'est amusant comment maintenant absolument tout est un standard.

Sinon je me demande ce qu'aurait été les réactions si la faille WebGL s'était retrouvé sur IE, on aurait eu du : ouais comme toujours Krosoft fait n'imp, sécurité toussa.

Facile: Aucune réaction

[LLB]

Déjà connaissant MS. WebGL n'aurait pas eu d'accès direct mais serait probablement juste émulé via directX.

Comme OpenGL pose pas mal de soucis à cause des drivers, Google et Mozilla utilisent le projet Angle, qui convertit le code OpenGL en appels DirectX. Microsoft aurait évidemment intérêt à suivre la même voie, s'il voulait implémenter WebGL.

Ensuite ya pas moyen de sandboxer tout ça ?

WebGL permet d'écrire des shaders, qui sont compilés et exécutés sur la carte graphique. Je ne vois pas bien comment une sandbox pourrait marcher, tout en gardant les avantages d'exécuter le code sur GPU.

Je sais bien que WebGL est chouette, je l'utilise régulièrement et il y a beaucoup d'applications potentielles très intéressantes. J'aime beaucoup. Tant que c'est peu répandu (il me semble que Firefox et Safari le désactivent par défaut), il n'y a pas trop de problèmes de sécurité. Mais le jour où ça arrive sur Internet Explorer, on trouvera des gens pour chercher à exploiter les failles potentielles.

Honnêtement, il y a pas mal de problèmes qui peuvent arriver. Il y a beaucoup de drivers différents, dont la qualité est loin d'être géniale, les gens les mettent rarement à jour, et le navigateur aura du mal à garantir la sécurité et la stabilité. Si quelqu'un fait une boucle infinie en Javascript ou utilise beaucoup de mémoire, c'est facile de tuer le script ; si ça se passe sur GPU, c'est un poil plus compliqué. Quand je compile des shaders un peu compliqué avec WebGL, ça fige tout Firefox... c'est pas top.

J'espère qu'il y a des solutions fiables à ce problème, mais ça risque de prendre du temps à mettre en place. En tout cas, je comprends la position de Microsoft (même si c'est un peu dommage, vues les applications de WebGL).

Plus d'infos sur la faille "Stealing Graphics Memory from the Desktop" : http://www.contextis.com/resources/blog/webgl2/

[tulipebleu]

Je suis tout a fait d'accord avec LLB et stardeath.
WebGL est un énorme problème de sécurité.
Les pub voudront utiliser cet technologie, et comme ce sera codé avec le pied, une fois sur deux, cela fera planté la carte graphique.
Régulièrement, on entend qu'il y a un problème de sécurité avec Acrobat reader, ou avec IE, Firefox, ou d'autres logiciels. Avec webGL, il y aura aussi des problèmes de sécurité avec les drivers graphiques.

En plus, actuellement, que se soit NVidia ou AMD, leur driver sont fait pour être rapide, pas pour être sécurisé. Donc il faudrait qu'ils changent leur façon de faire des drivers, ce qui risque d'avoir un impacte sur les application graphique.

En fait, WebGL n'est rien d'autre qu'une nouvelle façons d'attaquer les PC à distance.

L'enfer est pavé de bonne intention.

[koyosama]

Bonjour, je suis bien sur un site de développeur n'est-ce pas ?

Parce que je suis pas trop fan de la croisade s'amuse.

Merci de poster de vrai commentaire.
On a choisit ce domaine pour mettre des choses défaillantes ? On peut très bien l'améliorer.

[CAML]

Il est vrai que ces derniers temps on voit apparaître de plus en plus de 'promesses' et nouvelle fonctionnalité pour nos navigateurs préférés. Le browseur ne se contente plus de visualiser de simple page web. Je n'ai rien contre de nouvelle fonctionnalité mais comme certains l'ont dit ci-dessus, il faudrait penser à 'sandboxer' tout cela. Parce que tout les plugins et API qui commence a se 'brancher' sur ces navigateurs m’inquiète pas mal.

[umeboshi]

bonne initiative, ils devraient même rejeter IE et se focaliser sur ce qu'ils savent faire de mieux : attendre que les autres fassent ça bien, et le vendre à leur place.

[Hellwing]

bonne initiative, ils devraient même rejeter IE et se focaliser sur ce qu'ils savent faire de mieux : attendre que les autres fassent ça bien, et le vendre à leur place.

Ah ben bien sûr, Microsoft c'est des méchants qui veulent toujours freiner l'avancée du web ! Vivement les publicités en 3D qui pompent toutes les ressources de la carte graphique !

[Idelways]

Mozilla s'attaque aux critiques de Microsoft contre WebGL
Et estime que Silverlight s'expose aux mêmes risques

Mise à jour du 20/06/2011


Mozilla réagit à la polémique produite par la récente déclaration assassine de Microsoft contre WebGL, le standard Web de production de graphiques 3D accélérée par la carte graphique.

Mike Shaver, vice-président de la stratégie technique de la fondation, rejette en bloc les critiques de Microsoft en raison desquelles l'entreprise annonce n'avoir aucune intention d'implémenter WebGL sur Internet Explorer (lire ci-devant pour plus de détails sur l'annonce de Microsoft)

Pour Shaver, la question relevée par Microsoft ne se pose même pas quant à la nécessité des capacités 3D pour Web. Il rappelle que c'est justement ce que font le plug-in Silverlight (dans sa version 5) et Molehill, le moteur 3D d'Adobe Flash, qui s'exposent au mêmes risques soulevés par Microsoft en permettant au code téléchargé de manipuler des parties sensibles du système.

Mike Shaver estime que tout ajout de nouvelles fonctionnalités à une pile logicielle expose les parties existantes aux contenus potentiellement hostiles, un passage obligatoire qu'ont dû endurer selon lui les « moteurs des polices de caractères, les codecs vidéo, les bibliothèques [de rendus] des images... »

Le temps serait donc venu pour que les pilotes graphiques passent la même épreuve.

Ces risques inévitables seront par la suite « modélisées, comprises et atténuées » reprend-il, prenant pour exemple les stratégies employées par le navigateur Firefox qui se prive par exemple de l'utilisation de certains pilotes graphiques blacklistés.

L'implémentation de WebGL sur Mozilla Firefox, somme toute expérimentale, vérifie en outre la validité du code source des Shaders, et interdit depuis la version 5 le téléchargement des textures à partir d'un domaine autre que celui qui sert le JavaScript qui les appelle.

Des mesures appelées à être renforcées par d'autres en vue de rendre WebGL une « plateforme plus robuste », promet Mike Shaver qui invite Microsoft à s'engager dans le monde WebGL avant de sceller son sort.



Source : blog de Mike Shaver

Et vous ?

Que pensez-vous des contre arguments de ?
Quelles position vous convainc-t-elle le plus quand à WebGL ? Celle de Microsoft ou celle de Mozilla ?

[GCSX_]

Silverlight ne permet pas les accès bas niveau aux pilotes graphique. Ce qui le rend de fait plus sécurisé. Et je pense que c'est pareil avec Flash. Je ne crois pas qu'il soit possible de voler des screenshots avec par exemple.

Par contre je trouve effectivement la décision de Microsoft un peu excessive. Le WebGL n'en est qu'à ses balbutiments, c'est donc normal qu'il y'ai des failles et des risques à évaluer et à corriger. La réaction est donc excessive mais pas stupide : implémenté tel qu'il est actuellement, WebGL est encore "dangereux" (l'exemple ci-dessus tend à le prouver).

Mon avis est donc d'attendre encore un peu que les failles les plus dangereuses soit corrigées avant d'implémenter définitivement WebGL. Par contre, Microsoft pourrai le proposer comme plug-in optionnel en attendant, comme ils le font pour WebSocket car cette dernière n'est pas finalisée par le W3C.

[stardeath]

L'implémentation de WebGL sur Mozilla Firefox, somme toute expérimentale, vérifie en outre la validité du code source des Shaders

O_o bizarrement je trouve moins dangereux que le shader ne soit pas valide, du coup il n'est pas exécuté par le gpu (à moins de trouver un moyen de faire tourner un shader qui a lamentablement foiré à la compilation), que de laisser un shader qui compile accéder aux ressources du gpu.

d'un coté on ne redémarre que le navigateur, de l'autre on redémarre la machine, pour moi le choix est vite fait.

ce qui m'épate avec ces types, c'est qu'ils pensent que la 3D par le navigateur c'est l'avenir ... mais l'avenir de quoi? des sites web en 3D, des applications dont on ne contrôle pas les données parce que utilisé à travers un navigateur, du cloud en somme.

on a déjà la même chose en appli desktop, donc non merci.

edit: je viens de voir un post social de Carmack (enfin je suppose que c'est le vrai)

I agree with Microsoft’s assessment that WebGL is a severe security risk. The gfx driver culture is not the culture of security.

[umeboshi]

Ah ben bien sûr, Microsoft c'est des méchants qui veulent toujours freiner l'avancée du web ! Vivement les publicités en 3D qui pompent toutes les ressources de la carte graphique !

les pubs 3d on y viendra, et c'est pas microsoft avec cette décision qui y changera quelque chose

quant à savoir si microsoft a freiner l'avancée du web, si la commission européenne leur à imposer le browser ballot screen, c'est pas pour rien à mon avis...

maintenant que leur navigateur n'est plus favori, ils songent enfin à changer leurs méthodes

il suffit d'avoir développé un site web, de l'avoir testé sur tous les navigateurs pour se rendre compte qu'il n'y en avait qu'un seul qui nécessitait des hacks, des mises au point particulières pour obtenir le même résultat : IE (et ce, encore jusqu'à la version 8)

mais bon c'est pas leur faute, ils sont juste victimes de leur cupidité, qui au final va moins leur rapporter... mais c'est comme ça on apprend de nos erreurs, et microsoft apprend beaucoup