Microsoft: „WebGL gefährdet die Sicherheit“

Im Zentrum der Kritik steht die große Angriffsfläche des 3D-Webstandards. Die Sicherheit von WebGL ist laut Microsoft auch von OEM-Treibern abhängig. Microsoft will die Technik deswegen nicht unterstützen.

von Stefan Beiersmann und Stephen Shankland am 17. Juni 2011 , 17:08 Uhr

Microsoft hat Sicherheitsbedenken gegenüber der im März vorgestellten Browsertechnik WebGL geäußert. Diese dient dem Rendering von 3D-Grafiken aus dem Web. „Wir glauben, dass WebGL zu einer Quelle für schwer zu schließende Sicherheitslücken wird“, schreibt der Softwarekonzern in einem Blogeintrag. Aus Sicherheitsgründen könne Microsoft die Technik nicht unterstützen.

Damit sterben zumindest vorübergehend die Hoffnungen von WebGL-Befürwortern, dass die Technik zu einem Standard werden könnte, der sich in allen modernen Browsern findet. Für Entwickler ergeben sich vor allem Probleme bei der Erstellung einheitlicher webbasierter Anwendungen und Spiele.

Die Sicherheit von WebGL als Ganzes sei auch von OEM-Treibern abhängig, heißt es weiter in dem Blogeintrag. Daraus ergäben sich Sicherheitsanforderungen, um die sich die Anbieter bisher nie hätten kümmern müssen. „Obwohl es möglich sein sollte, einige dieser Risikofaktoren in einem gewissen Umfang zu begrenzen, ist die große Angriffsfläche, die WebGL bietet, beunruhigend.“

Darüber hinaus hat Context Information Security vor einer weiteren Lücke in WebGL gewarnt, die es Websites ermöglich, einen Screenshot von einem Rechner eines Firefox-Nutzers zu machen. Auf die im Mai gemeldete Anfälligkeit habe Mozilla bisher nur unzureichend reagiert. „Context empfiehlt daher, dass Nutzer und Systemadministratoren WebGL deaktivieren“, schreibt das Unternehmen in seinem Blog.

WebGL wurde ursprünglich von Mozilla entworfen und von der Khronos Group – ein Non-Profit-Konsortium aus Firmen wie Google, Apple, Intel und Mozilla – zu einem Standard weiterentwickelt. WebGL ist eine Bibliothek für Grafiken, die die Funktionalität von JavaScript erweitert und ohne Plug-ins die Erstellung von 3D-Abbildungen innerhalb eines Browsers ermöglicht. Die Technik wird derzeit von Chrome, Firefox und Safari unterstützt.

Khronos hat die Bedenken gegenüber WebGL zurückgewiesen. Alle Browseranbieter arbeiteten noch daran, die Konformitätstests für WebGL zu erfüllen, sagte der Sprecher Jonathan Hirshon. Bis dahin gelte das Feature als experimentell. Das Screenshot-Problem sei zudem auf den Mozilla-Browser beschränkt und werde in Firefox 5 gelöst.

Trotz der Opposition durch Microsoft ist es unwahrscheinlich, dass WebGL schnell wieder verschwindet. Wichtige Unterstützer sind Apple und Google. Im Gegensatz zu Windows-PCs haben deren Produkte – Macs und Chromebooks – nicht mit einer großen Anzahl unterschiedlicher Hardwarekomponenten zu kämpfen, die eine Beseitigung von Anfälligkeiten erschweren. Gleiches gilt für die kommende Smartphone-Generation. Auch deren Anbieter sind es gewohnt, dass Microsoft nicht unbedingt auf ihrer Seite steht.