Firefox gibt Informationen preis

Diese Möglichkeiten sind ja ganz nett, das muss ich zugeben. Das Problem ist eben, dass die "Anwendungen innerhalb des Browsers" im Chrome-Bereich erzeugt werden, der gewolltermaßen über die maximal möglichen Rechte verfügt, beschränkt nur durch die Rechteverwaltung des Betriebssystems.

ActiveX ist zwar noch eine ganze Ecke schärfer, denn bei diesem Modell ist es gewollt, dass jede Website auf Wunsch Vollzugriff über das System anfordern kann. Die Situation ist aber in Ansätzen vergleichbar: Theoretisch gibt es wirksame Sicherheitsbeschränkungen, die praktisch nun schon mehrmals durchbrochen wurden.

Eine Whitelist für externe Seiten, die XUL verwenden dürfen, in Kombination mit ansonsten striktem Verbot, auf die Chrome-Umgebung zuzugreifen, hielte ich hier für das Beste. Im Hinblick auf die schon erwähnte Tatsache, dass mir außerhalb der XUL-Dokumentation noch kein "freilaufendes" Beispiel begegnet ist, sehe ich bei diesem Ansatz keine großen Probleme.

Remote-XUL unterliegt Beschränkungen und hat nicht die selben Rechte wie lokales XUL in chrome. Bzgl. der Privilege-Escalation ist das mit der Whitelist ein Argument, NoScript sollte da zumindest die Ausführung von JS (als Grundlage hinter der Funktionalität der Anwendung) verhindern.

Zitat von PIGSgrame

Diese Möglichkeiten sind ja ganz nett, das muss ich zugeben. Das Problem ist eben, dass die "Anwendungen innerhalb des Browsers" im Chrome-Bereich erzeugt werden, der gewolltermaßen über die maximal möglichen Rechte verfügt, beschränkt nur durch die Rechteverwaltung des Betriebssystems.

Das werden sie nicht. Sie haben die selben Rechte wie jede Webseite. Dazu müssen ein paar Stylesheets, XBL-Bindings und Scripte mit einer Chrome-URL nachgeladen werden, was aber erst einmal auch kein Problem ist, weil die Scripte und alles ja mit den Berechtigungen einer ganz normalen Webseiten laufen.
Probleme gibt es dann nur, weil die Chrome-URLs eine Sicherheitslücke haben und unter bestimmten Umständen, die als sie eingeführt wurden nicht absehbar waren, Zugriff auf's Dateisystem zulassen. Aber da kann Remote-XUL ja nichts dafür...