មូលនិធិប្រភពបើកចំហបានណែនាំកម្មវិធីបន្ថែមកម្មវិធីរុករក JShelter ដើម្បីកំណត់ JavaScript API

មូលនិធិកម្មវិធីឥតគិតថ្លៃបានណែនាំគម្រោង JShelter ដែលបង្កើតកម្មវិធីបន្ថែមកម្មវិធីរុករកដើម្បីការពារប្រឆាំងនឹងការគំរាមកំហែងដែលកើតឡើងនៅពេលប្រើ JavaScript នៅលើគេហទំព័រ រួមទាំងការកំណត់អត្តសញ្ញាណលាក់ ការតាមដានចលនា និងការប្រមូលផ្តុំទិន្នន័យអ្នកប្រើប្រាស់។ លេខកូដគម្រោងត្រូវបានចែកចាយក្រោមអាជ្ញាប័ណ្ណ GPLv3 ។ កម្មវិធីបន្ថែមត្រូវបានរៀបចំសម្រាប់ Firefox, Google Chrome, Opera, Brave, Microsoft Edge និងកម្មវិធីរុករកផ្សេងទៀតដោយផ្អែកលើម៉ាស៊ីន Chromium ។

គម្រោង​នេះ​កំពុង​ត្រូវ​បាន​បង្កើត​ឡើង​ជា​គំនិត​ផ្តួច​ផ្តើម​រួម​ដែល​ផ្តល់​មូលនិធិ​ដោយ NLnet Foundation។ Giorgio Maone ដែលជាអ្នកបង្កើតកម្មវិធីបន្ថែម NoScript ក៏ដូចជាស្ថាបនិកនៃគម្រោង J++ និងជាអ្នកនិពន្ធកម្មវិធីបន្ថែម JS-Shield និង JavaScript Restrictor ក៏បានចូលរួមក្នុងការអភិវឌ្ឍន៍ JShelter ផងដែរ។ កម្មវិធីបន្ថែម JavaScript Restrictor ត្រូវបានប្រើជាមូលដ្ឋានសម្រាប់គម្រោងថ្មី។

JShelter អាច​ត្រូវ​បាន​គេ​គិត​ថា​ជា​ប្រភេទ​ជញ្ជាំង​ភ្លើង​សម្រាប់​ចំណុច​ប្រទាក់​កម្មវិធី JavaScript ដែល​មាន​សម្រាប់​គេហទំព័រ និង​កម្មវិធី​បណ្ដាញ។ កម្មវិធីបន្ថែមផ្តល់នូវការការពារបួនកម្រិត ក៏ដូចជារបៀបកំណត់រចនាសម្ព័ន្ធដែលអាចបត់បែនបានសម្រាប់ការចូលប្រើ API ។ កម្រិតសូន្យអនុញ្ញាតឱ្យចូលប្រើ APIs ទាំងអស់បានទាំងស្រុង ទីមួយរួមបញ្ចូលការទប់ស្កាត់តិចតួចបំផុតដែលមិនរំខានដល់ប្រតិបត្តិការនៃទំព័រ កម្រិតទីពីរតុល្យភាពរវាងការទប់ស្កាត់ និងភាពឆបគ្នា ហើយកម្រិតទី XNUMX រួមមានការទប់ស្កាត់យ៉ាងតឹងរឹងនូវអ្វីគ្រប់យ៉ាងដែលមិនចាំបាច់។

ការកំណត់ការទប់ស្កាត់ API អាចត្រូវបានចងភ្ជាប់ទៅនឹងគេហទំព័រនីមួយៗ ឧទាហរណ៍ ការការពារអាចត្រូវបានពង្រឹងសម្រាប់គេហទំព័រមួយចំនួន និងបិទសម្រាប់គេហទំព័រផ្សេងទៀត។ អ្នកក៏អាចជ្រើសរើសបិទវិធីសាស្ត្រ JavaScript វត្ថុ លក្ខណសម្បត្តិ និងមុខងារមួយចំនួន ឬផ្លាស់ប្តូរតម្លៃត្រឡប់ (ឧទាហរណ៍ បង្កើតព័ត៌មានមិនពិតអំពីប្រព័ន្ធ)។ លក្ខណៈពិសេសដាច់ដោយឡែកមួយគឺរបៀប NBS (Network boundary Shield) ដែលមិនអនុញ្ញាតឱ្យទំព័រប្រើប្រាស់កម្មវិធីរុករកតាមអ៊ីនធឺណិតជាប្រូកស៊ីរវាងបណ្តាញខាងក្រៅ និងបណ្តាញក្នុងស្រុក (សំណើដែលចេញទាំងអស់ត្រូវបានស្ទាក់ចាប់ និងវិភាគ)។

APIs ដែលត្រូវបានទប់ស្កាត់ ឬដាក់កម្រិត៖

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp និង VRFrameData.prototype.timestamp - លទ្ធផលពេលវេលាពិតប្រាកដអាចត្រូវបានប្រើដើម្បីកំណត់អត្តសញ្ញាណ និងអនុវត្តការវាយប្រហារតាមឆានែលចំហៀង .
• HTMLCanvasElement (canvas.toDataURL(), canvas.toBlob(), CanvasRenderingContext2D.getImageData, OffscreenCanvas.convertToBlob()) - ប្រើដើម្បីកំណត់លក្ខណៈពិសេសនៃប្រព័ន្ធរងក្រាហ្វិកនៅពេលកំណត់អត្តសញ្ញាណអ្នកប្រើប្រាស់។
• Audiobuffer និង Analysernode (Audiobuffer.getChanneldata (), Audiobuffer.copyfromchannel (), analysernode.getBytimedomaindata (), analySernode.getfloatTimedoma Indata (), analysernode.getbytefrequencydata () និង analysernode.getBytimedomaindata () ការវិភាគតាមរលកសញ្ញា។
• WebGLRenderingContext - ការកំណត់អត្តសញ្ញាណតាមរយៈការវិភាគនៃលក្ខណៈពិសេសនៃជង់ក្រាហ្វិក និង GPU ។
• MediaDevices.prototype.enumerateDevices - ការកំណត់អត្តសញ្ញាណដោយការទទួលបានប៉ារ៉ាម៉ែត្រ និងឈ្មោះរបស់កាមេរ៉ា និងមីក្រូហ្វូន។
• navigator.deviceMemory, navigator.hardwareConcurrency - ការទទួលបានព័ត៌មានអំពីផ្នែករឹង។
• XMLHttpRequest (XHR) - ផ្ទេរព័ត៌មានប្រព័ន្ធដែលបានប្រមូលទៅម៉ាស៊ីនមេខាងក្រៅបន្ទាប់ពីទំព័រត្រូវបានផ្ទុក។
• ArrayBuffer - អនុវត្តការវាយប្រហារតាមស្ថាបត្យកម្មខ្នាតតូច។
• WebWorker (window.Worker), SharedArrayBuffer (window.SharedArrayBuffer) - អនុវត្តការវាយប្រហារដែលវាយតម្លៃការពន្យារពេលនៅពេលចូលប្រើទិន្នន័យ។
• Geolocation API (navigator.geolocation) - ការចូលប្រើព័ត៌មានទីតាំង (ការបន្ថែមអនុញ្ញាតឱ្យអ្នកបង្ខូចទ្រង់ទ្រាយទិន្នន័យដែលបានត្រឡប់មកវិញ) ។
• Gamepad API (navigator.getGamepads()) គឺជាសញ្ញាសម្គាល់អត្តសញ្ញាណមួយដែលគិតគូរអំពីវត្តមានរបស់ gamepad នៅក្នុងប្រព័ន្ធ។
• Virtual Reality API, Mixed Reality API - ការប្រើប្រាស់ប៉ារ៉ាម៉ែត្រឧបករណ៍ការពិតនិម្មិតសម្រាប់កំណត់អត្តសញ្ញាណ។
• window.name - ការលេចធ្លាយឆ្លងគេហទំព័រ។
• navigator.sendBeacon - ប្រើសម្រាប់ការវិភាគគេហទំព័រ។

ប្រភព: opennet.ru