Trzymanie hasła w zmiennej javascript - implikacje bezpieczeństwa?

Question

Czy przechowywanie hasła użytkownika w zmiennej javascript w przeglądarce powoduje ujawnienie jakichkolwiek luk w zabezpieczeniach wykraczających poza zwykłe luki w zabezpieczeniach klienta opartego na przeglądarce?

Rozważ ten fragment jako prosty przykład - jsfiddle here

<label for="password">Password</label> 
<input type="password" id="password"/><br/><br/> 
<button type="button" id="pwdButton">Store password in window.password</button> 

<script> 
    function getContentsOfPasswordField() { 
     return jQuery("input#password").val(); 
    } 

    jQuery("button#pwdButton").on("click", function() { 
     window.password = getContentsOfPasswordField(); 
     alert("'" + password + "' stored in global var window.password") 
    }); 
</script> 

W tym przykładzie zmienna hasło jest globalny i utrzymuje się przez cały okres użytkowania strony, po prostu zrobić to tak otwarty do ataku, jak to możliwe i podać najgorszy możliwy scenariusz. Być może ograniczenie zakresu/czasu życia zmiennej może ochronić ją przed niektórymi klasami ataków?

Atak, który przychodzi od razu na myśl, to XSS, ale wtedy, jeśli klient jest podatny na XSS, atakujący może odczytać hasło poprzez i tak logowanie klucza (patrz this), więc trzymanie go w zmiennej doesn ' t, o ile widzę, zwiększa podatność na ataki XSS.

Uwaga punkt pytaniem nie jest to, czy robi to zła praktyka, jest to bardziej fundamentalne pytanie o stronie klienta Web App bezpieczeństwa :)

Answer 1

Pozostawiając hasła w zmiennej pozostawia to ludziom dostęp do nich za pomocą narzędzi przeglądarki! pozwala powiedzieć funkcję wywołaną po naciśnięciu przycisku hasła sklepu, przechowuje hasło w zmiennej o nazwie hasło. Nawet jeśli ta zmienna nie jest później używana w ogóle na stronie, po prostu gdzieś w kodzie jest ona obsługiwana później, wystarczy otworzyć narzędzie dla programistów w przeglądarce, dodać oświadczenie takie jak alert(password); i Bam, hasło dosłownie wyskakuje przed nimi.

Wprawdzie każdy kod na tyle prosty, aby pozwolić komuś zrobić, że jest niegodny bycia w sieci, a jeszcze mniej warty jest wtrącania się, ale myślę, że to lekcja, jak naprawdę jesteśmy naprawdę podatni.