NPAPI: differenze tra le versioni

Versione delle 22:46, 10 ago 2007

Versione delle 22:55, 10 ago 2007

Riga 43:

npruntime è supportato dalla generazione più recente di browser Mozilla (1.7.5+) / Firefox, Safari ed Opera. Tutti i nuovi plugin dovrebbero usare questa API.

=== Confronto tra NPAPI e i controlli ActiveX ===

Microsoft sviluppò OLE2 ([[Object linking and embedding|Object Linking and Embedding]]) per rendere possibile la creazione di documenti composti in applicazioni quali Microsoft word. Per esempio, un documento scritto in un word processor potrebbe contenere un foglio di calcolo incorporato che potrebbe essere lanciato all'interno della finestra del word processor.

Riga 53:

OLE2 era molto complicato, ed il suo supporto nelle [[Microsoft Foundation Classes|MFC]] era minimo, perciò Microsoft razionalizzò la specifica in modo da semplificarla, e ridenominò la tecnologia in [[ActiveX]]. Anche dopo la semplificazione i controlli richiedevano neccessariamente che all'incirca 6 interfacce fondamentali venissero implementate. Microsoft, per allievare questa complessità, produsse dei wizard, delle classi base ATL, delle macro e delle estensioni al linguaggio [[C++]] per semplificare la scrittura di controlli.

A partire da Internet Explorer 3.0 venne aggiunta la possibilità di ospitare controlli ActiveX all'interno di contenuto HTML. Se il browser elaborava una pagina che specificava un controllo ActiveX attraverso un tag OBJECT (e una sintassi non accettata dal [[W3C]]), avrebbe scaricato automaticamente ed installato il controllo, con intervento minimo, se non nullo, dell'utente. Ciò rese la fruizione del web "più ricca", ma venne percepita come limitante (dal momento che i controlli funzionavano solo su Windows) e come un rischio per la sicurezza, a causa del mancato intervento dell'utente. Microsoft è stata costretta ad introdurre delle misure di sicurezza per porre rimedio alle proprie mancanze. Ad esempio:

<!--

Starting with Internet Explorer 3.0, support was added to host ActiveX controls within HTML content. If the browser encountered a page specifying an ActiveX control via an OBJECT tag (using non-W3C syntax), it would automatically download and install the control with little or no user intervention. This made the web experience "richer" but was perceived as divisive (since controls only ran on Windows) and a security risk due to the lack of user intervention. Microsoft have been forced to introduce security measures to address its shortcomings. For example:

* Control installation packages (Cabinet files and executables) must be digitally signed.

* Controls must explicitly declare themselves safe for scripting.

* The default security settings have become increasingly more stringent.

* Internet Explorer maintains a blacklist of bad controls.

* I pacchetti d'installazione dei controlli (file cabinet ed eseguibili) devono recare una [[firma digitale]].

Internet Explorer did for a time support NPAPI plugins. Plugins that functioned in the Netscape browser also functioned in Internet Explorer. This was due to a small ActiveX control implemented within a "plugin.ocx" file that acted as a shim between the ActiveX based browser and the NPAPI plugin. The IE browser would load the control and use it to host plugins specified within the page. However, Microsoft made the claim that NPAPI plugins (or the IE implementation of the API) was a security issue and dropped support for it in version 5.5 SP2.<ref>Giannandrea, J. ([[September 4]], [[2001]]) [http://www.meer.net/jg/broken-plugins.html Microsoft breaks Web Plugins in Windows XP].</ref>

* I controlli devono dichiararsi esplicitamente sicuri per attività di scripting.

* Le impostazioni di sicurezza predefinite sono divenute sempre più restrittive.

* Internet Explorer mantiene una "lista nera" dei controlli insicuri.

Internet Explorer, fino ad un certo momento, supportò i plugin NPAPI. I plugin che funzionavano nel browser Netscape funzionavano anche su Internet Explorer, grazie ad un piccolo controllo ActiveX implementato in un file "plugin.ocx" che svolgeva il compito di intermediario tra il browser e il plugin. Il browser caricava il controllo, e lo utilizzava per ospitare i plugin richiamati in quella pagina. Tuttavia, Microsoft affermò, ad un certo punto, che i plugin NPAPI (o l'implementazione di Internet Explorer dell'API) causavano problemi di sicurezza, e rimosse il supporto nella versione 5.5 SP2 di Internet Explorer.<ref>Giannandrea, J. ([[September 4]], [[2001]]) [http://www.meer.net/jg/broken-plugins.html Microsoft breaks Web Plugins in Windows XP].</ref>

Future versions of Internet Explorer are more likely to promote a [[.NET Framework|.NET]] based model using a sandbox and finegrained security to control what the control can and cannot do.

Le versioni successive di Internet Explorer, molto probabilmente, introdurranno un modello basato su [[.NET Framework|.NET]] attraverso una sandbox e dei profili di sicurezza appositamente studiati per controllare i diritti assegnati a ciascun controllo.

<!--

== Security ==

A popular misconception concerning the NPAPI technology is that a plugin is somehow inherently safer than an ActiveX control. Both run native machine instructions with the same privileges as the host process. Thus a malicious plugin can do as much damage as a malicious ActiveX control.