Pour bien débuter l’année 2009, Google a décidé de proposer en libre accès un ouvrage sur la sécurité des navigateurs web. S’appuyant sur des tests connus et reconnus, l’éditeur compare Safari, IE 6 et 7, Firefox 2 et 3, Opera, Chrome et le navigateur embarqué d’Android. Ce document qui se veut le plus neutre possible est destiné aux responsables de sécurité, voire aux développeurs ayant besoin d’une bonne sécurité. On apprend dès l’introduction que IE représente environ 70 % du marché contre 20 % pour Firefox, 5 pour Safari et 1 % pour Chrome.
Tous les aspects y passent et notamment les standards et technologies. Un des premiers d’entre eux est l’usage des URI (Uniform Resource Locator). Et immédiatement on constate une différence forte sur le support URI… Même sur le protocole http, tous les navigateurs ne sont pas logés à la même enseigne. Ne parlons même pas du HTML où on dispose de 4 moteurs de rendu différents : Trident, Gecko, WebKit, Presto. Et encore pour WebKit l’implémentation dépend de l’éditeur même si la fondation reste la même. Et là aussi, si on prend les aspects sécurité, il existe de grosses différences et l’un des plus complets sur ces aspects est Firefox. Et on pourrait multiplier les exemples à Javascript, CSS, SVG, etc. De quoi se poser des questions sur la pertinence sécuritaire de certains navigateurs et des failles potentiels pour ses propres applications web. Et les auteurs ne sont tendres avec personne. Et quand Chrome ou Android sont en retrait, on le voit immédiatement. Un exemple parmi d'autres, sur le le http authentification, Android ne le supporte pas, ni la possibilité de stocker les mots de passe https en SSL.
Bref une lecture indispensable !
Site : http://code.google.com/p/browsersec/wiki/Main