Med nettlesernes støtte for HTML5 og relaterte teknologier inkluderes også muligheten for nettsteder å lagre mer data på brukeres maskin. Dette kalles for Web Storage/localStorage.
I utgangpunktet er det begrenset hvor mye data hvert nettsted får lagre på på brukerens maskin. Avhengig av nettleser er grensen på mellom 2,5 og 10 megabyte.
Men nå har noen funnet ut at det er mulig å omgå dette og dermed potensielt fylle hele harddisken eller SSD-en til brukeren med tomme data. Dette skyldes rett og slett at de fleste nettleserleverandører ikke har fulgt en oppfordring som er nevnt i spesifikasjonen, nemlig at nettlesere bør hindre at nettsteder lagrer data under tilknyttede nettsteder, i praksis nettsteder med et annet subdomene, slik som a1.example.com, a2.example.com, a3.example.com og så videre. Dette er enkelt å sette opp dersom man både i DNS og webserveren legger inn en oppføring for «*.domenenavn.com».
Dessverre er det slik at ingen nettlesere, bortsett fra Firefox,har en slik sperre. Dette skriver Feross Aboukhadijeh, som studerer til en mastergrad i informatikk ved Stanford University.*
Aboukhadijeh har også laget et konseptbevis, som finnes her. På denne siden finnes det en teller som viser hvor mye data som siden til enhver tid har lagret på brukerens maskin. Hvor fort det går, avhenger av både program- og maskinvare. Ifølge Aboukhadijeh selv tar det 16 sekunder å fylle opp 1 gigabyte med data i Safari på hans Macbook Pro Retina med SSD.
En slags «sikkerhet» mot et slikt angrep er å benytte en 32-bits nettleser. Da vil nettleseren sannsynligvis krasje lenge før harddisken er full. For eksempel krasjer Chrome i vårt tilfelle før 1 gigabyte har blitt lastet ned. 64-bits nettlesere kan derimot holde på til det ikke er mer plass igjen på partisjonen hvor dataene lagres. Hvilke konsekvenser dette vil ha for stabiliteten til systemet, kan blant annet avhenge av om operativsystemet kjøres fra samme partisjon som nettleserdataene lagres.
I alle fall Chromium-fellesskapet, som lager åpen kildekode-utgaven som Google Chrome er basert på, har begynt å diskutere hvordan dette problemet kan løses.
* Oppdatering klokken 13.11: En leser påpeker at konseptbeviset ikke fungerer i Opera 12.14 (og muligens også eldre versjoner). Her stopper nedlastingen på subdomentet 40.filldisk.com. Brukeren bes på tildele mer lagringsplass til applikasjonen (øke fra 5 til 10 megabyte). På dette tidspunktet er 78 megabyte blitt lagret. Dersom man godtar dette, blir man på nytt spurt for hvert nye subdomene som tas i bruk. Det er uklart om dette skyldes en sperre i Opera eller en feil i konseptbeviset.
Les også:
- [31.07.2013] W3C vedtar ny webstandard
- [27.04.2009] Skiller ut deler av HTML 5
