使用 Web 应用程序与其等效的桌面应用程序背后的一般安全含义是什么?

信息安全 Web应用程序 应用安全
2021-08-16 18:32:56

在 2020 年,有很多应用程序具有 Web 界面以及“桌面应用程序”。这样的应用程序要么在功能上相同,要么非常接近。这种情况的三个示例是Slack、DiscordKeeper Security应用程序。作为用户,我经常面临选择:是在浏览器中使用 web 应用程序,还是下载并安装桌面应用程序?

为了不太含糊,我不打算问“哪个更安全?”这个问题。因为如果没有具体的参考,这可能无法回答。然而,事实上,许多这些应用程序都运行在 Chrome、V8、Electron、Mono 等运行时之上......对于这个问题,请假设应用程序是这种风格并且不是直接用 C 或 C++ 编写的“完全原生”编译的应用程序。

忽略任何功能差异(例如,我需要桌面应用程序才能进行直播),请列出使用浏览器应用程序与桌面应用程序的一般安全影响

出于安全原因,为什么我更喜欢运行应用程序的 Web 浏览器版本而不是桌面应用程序,反之亦然?例如,其中一个含义可能是,“在浏览器运行的 Web 应用程序中的利用将仅限于选项卡的进程,而在桌面应用程序中,它可能会访问更大的范围”。

1个回答

安装桌面应用程序意味着对服务提供商的 100% 信任。这是他们在您的 Web 浏览器上获得特权远程代码执行的假设安全性等价物——这是一种极其罕见的安全事件。安全概念证明:提供商可以使用桌面应用程序对您的设备做更多的事情。

信任有很多方面;Discord 和 Slack 是知名的上市公司,因此他们不太可能直接做出恶意行为,但您也绝对信任他们的安全工程实践。例如,它们是处理用户生成内容的聊天应用程序,因此容易受到攻击。您是否相信 Slack 或 Discord 能够提供与 Google 对 Chrome 所做的同等安全投资?如果他们使用像 Electron 这样的框架,你相信他们总是使用最佳实践吗?

作为参考点;在桌面上,我总是使用基于浏览器的 Discord 和 Slack 客户端,因为我不觉得原生应用程序提供了足够的附加值。在移动设备上,我使用这些应用程序是因为它们物有所值,而且应用程序安全模型更加细致入微/沙盒化。