Исходное сообщение
"Консорциум W3C представил спецификацию Web Cryptography API" Отправлено filosofem, 18-Сен-12 21:32
Все не читал, но в целом претензию понял. Эдакое подобие CSRF, только с полным контролем трафика между клиентом и сервером (либо DNS, используемого юзером) и элементами социнженерии(потому что ну не будет адекватный браузер дёргать ключ из хранилища скриптом, без явной манипуляции юзера, это же очевидно, а юзеры даже больные на голову не включают автологины на банковских сайтах), да не исключено, хотя и затруднительно реально провернуть из-за same origin policy =) Но опять же, как было сказано, даже в таком грустном случае хаксор не прослушивает трафик и не получает ключ. И это уже не киддис Вася, кстати, а агент Малдер какой-то. И никакого >Однофигственно. В данном случае ничто не помешает хаксору вгрузить свой вариант скрипта. нет. Много чего помешает. По поводу невозможности или отсутствию практики проверки скриптов. Это как раз одна из проблем, которую может и должен решить крипто-API.