Şifre değişkeni javascript değişkeninde - güvenlik sonuçları?

Question

Tarayıcıda bir javascript değişkeninde bir kullanıcının şifresini tutmak, tarayıcı tabanlı bir istemcinin normal güvenlik açıklarını aşan herhangi bir güvenlik açığını ortaya çıkarır mı?

Basit bir örnek olarak bu kod parçasını göz önünde - sadece o kadar açık için saldırı mümkün olduğunca yapmak, şifre değişken geneldir ve sayfanın ömrü boyunca devam Bu örnekte jsfiddle here

<label for="password">Password</label> 
<input type="password" id="password"/><br/><br/> 
<button type="button" id="pwdButton">Store password in window.password</button> 

<script> 
    function getContentsOfPasswordField() { 
     return jQuery("input#password").val(); 
    } 

    jQuery("button#pwdButton").on("click", function() { 
     window.password = getContentsOfPasswordField(); 
     alert("'" + password + "' stored in global var window.password") 
    }); 
</script> 

ve en kötü senaryoyu ver. Belki de değişkenin kapsamını/ömrünü sınırlamak, onu belirli saldırı sınıflarından koruyabilir mi?

akla hemen gelen saldırı XSS, ama sonra müşteri ilk etapta XSS'e göre eğer saldırgan böylece değişken doesn içinde tutarak (this bakınız) zaten anahtar giriş yaparak şifreyi okuyabilir' Görebildiğim kadarıyla, XSS saldırılarına karşı savunmasızlığı arttır.

sorunun noktası gerçekten değil unutmayın olsun veya bu, bu bir değişkene şifreyi bırakılması istemci tarafı web uygulaması güvenliği :)

Answer 1

hakkında temel bir soru daha kötü bir şekilde tecrübe edilmektedir yapmıyor Sadece tarayıcı araçlarına erişmek için insanlara açık bırakır! , mağaza şifresi düğmesine basıldığında çağrılan fonksiyonu söyler ve şifreyi şifre olarak adlandırılan bir değişkende saklar. Bu değişkenin daha sonra sayfada hiç kullanılmasa bile, basitçe kodun bir yerlerinde ele alınırsa, tek yapmanız gereken tarayıcılarındaki geliştirici araçlarını açmaktır, alert(password); ve Bam, şifre tam anlamıyla ön planda açılır.

Admitedly, birilerinin bunu yapmasına izin verecek kadar basit olan herhangi bir kod, muhtemelen web'de olmamaya değer, hatta daha az aldatılmaya değer, ama sanırım gerçekten ne kadar zalimce olduğumuza dair bir ders.