E' pericoloso richimare un css dal web?

[mircov]

Salve ragazzi. E' pericoloso richiamare un css dal web? Per intenderci è pericoloso richiamare un css in questo modo:

http://www.miosito.it/path/del/css/style.css

[biosimulant]

Originariamente inviato da mircov
Salve ragazzi. E' pericoloso richiamare un css dal web? Per intenderci è pericoloso richiamare un css in questo modo:

http://www.miosito.it/path/del/css/style.css

Se lo vuoi solo guardare e la pagina web non e' tua.... no.....in ogni altro caso si.....almeno in linea teorica si potrebbe infilare qualunque cosa al posto del path....dall'esterno, se sei senza protezione contro gli accessi sbagliati....

[mircov]

Non credo di aver capito molto bene. Potresti essere un po' più preciso? Che intendio per infilare qualsiasi cosa nel path?

[biosimulant]

Originariamente inviato da mircov
Non credo di aver capito molto bene. Potresti essere un po' più preciso? Che intendio per infilare qualsiasi cosa nel path?

Dunque....quello che proponi tu lo si usa solo per vedere il css di pagine ( fatte da altrie, quindi, protette adeguatamente) che si intende studiare....
Se quelle pagine non sono protette, e nella tua macchina c'e' il software giusto,qualcuno puo' leggere l'indirizzo,copiarlo e sotituirne una parte con quanto interessa a lui....et voila',la violazione e' fatta...
Ovviamente,non essendo Hacker (per scelta) parlo in linea teorica e da quasi paranoico....ma non si sa mai....
A questo mondo tutto e' possibile,anche l'improbabile....
O,come diceva, qualche 007.........mai dire mai.....

[mircov]

Quello che non mi è chiaro è questo: il path è comunque leggibile! Ora o io nel path ci metto un http (h t t p ://w w w .mioindirizzo.it/path/al/css/style.css) o ci metto un path fatto di directories path/al/css/style.css, quindi, sostanzialmente, eliminando l'indirizzo) non è la stessa cosa?

[Mich_]

A parte le considerazioni fatte da altri, i browser possono bloccare gli include da domini diversi. Lo fanno gia` con i JS, potrebbero farlo anche con i CSS.

E` sempre meglio copiarsi il file ed usare la propria copia (fermo restando di non violare eventuali copyright).

[biosimulant]

Originariamente inviato da mircov
Quello che non mi è chiaro è questo: il path è comunque leggibile! Ora o io nel path ci metto un http (h t t p ://w w w .mioindirizzo.it/path/al/css/style.css) o ci metto un path fatto di directories path/al/css/style.css, quindi, sostanzialmente, eliminando l'indirizzo) non è la stessa cosa?

Risolvi,se possibile, il problema alla radice....non mettere proprio niente che abbia a che fare con un path....e avrai eliminato tutte le rogne....

[IroN@xiD]

Non riesco a capire che problemi di sicurezza possa comportare il richiamo di un file css... il file css viene interpretato come un file di testo e nulla più quindi a meno che non ci siano falle nel browser che usi per aprirlo non vedo che problemi dovrebbero esserci :master:

[Mich_]

Originariamente inviato da IroN@xiD
Non riesco a capire che problemi di sicurezza possa comportare il richiamo di un file css... il file css viene interpretato come un file di testo e nulla più quindi a meno che non ci siano falle nel browser che usi per aprirlo non vedo che problemi dovrebbero esserci :master:

Con i CSS2 in effetti non ci sono problemi, ma con i CSS3, che avranno alcune funzioni che ora sono esclusive di JS e/o VBS, potrebbero essercene.

E comunque un file proveniente da un sito non affidabile potrebbe contenere dei virus o troiani.
Se in un file CSS ci fosse un commento un po' lungo, ed in questo commento ci fosse nascosto un piccolo troiano, basterebbe poi riuscire a far eseguire tale codice (con VBS esiste anche una tale possibilita`, se le protezioni sono basse).

Insomma, se a casa tua le finestre sono alte 5 metri dalla strada, e tu (come il 99% dell epersone) non riusciresti mai ad entrare, non e` detto che altri non possano provarci, e magari anche riuscirci.

[IroN@xiD]

per il CSS3 non so, devo ancora approfondire...

cmq ho scritto a meno che non ci siano falle nel browser. Il che include le possibilità che hai citato. Internet Explorer è un bell'esempio.

Per quanto riguarda le finestre io lascerei perdere quel tipo di discorso perchè alla fine tutto perde senso. E' chiaro che c'è sempre qualche falla da sfruttare ma a questo punto nemmeno il comando su di unix è sicuro al 100%.. insomma.. sta a noi scegliere di eseguire software sicuro sulla nostra macchina. Se qualcuno usa windows XP senza la patch per le RPC ad esempio è inutile che si chieda se css può dare problemi alla sicurezza quando si trova una falla da panico nel sistema.

Cmq quando si apre un css dall'url non avviene alcun tipo di interpretazione. Si apre semplicemente come fosse un comune file di testo. Giunti a questo punto direi che è più pericoloso aprire una normalissima pagina html, almeno li il browser ha qualcosa da fare oltre che mandare in output così com'è ciò che riceve dal webserver.