Javascript security bug in Opera

Verwijderd schrijft: "Internet Explorer is niet langer de enige browser met schoonheidsfoutjes. Ook Opera heeft z'n gaatjes. Met behulp van javascript is het voor hackers mogelijk om informatie uit cookies van een ander domein te halen. Dit probleem komt voor in de versies 5.02, 5.10, 5.11 5.12 voor Windows en in de 5.0 versie voor Linux. Tevens zou het mogelijk zijn om de browser cache en browser historie te lezen. De makers van Opera raden een ieder aan om javascript uit te zetten en te wachten op een patch die aan het eind van de maand beschikbaar komt":

Veteran bug hunter Georgi Guninski has discovered that versions of the Web browser on both Windows and Linux allow the executive of script code across domains.

Jon Von Tetzchnor, chief executive of Opera, told us that testing and development for a patch to fix the problem is underway, and a solution should be available by the end of the month. He also points out that Internet Explorer and Netscape browsers have been affected by similar cross-site scripting flaws in the past.

Het volledige artikel kun je nalezen bij The Register.

Reacties (60)

[Verwijderd]

De makers van Opera raden een ieder aan om javascript uit te zetten en te wachten op een patch die aan het eind van de maand beschikbaar komt"

Stelletje grapjassen, dan is er geen enkele site meer fatsoenlijk te bekijken

[]Byte[]

Stelletje grapjassen, dan is er geen enkele site meer fatsoenlijk te bekijken

Ze zijn in ieder geval eerlijk!
Van Microsoft ga je straks helemaal niets meer horen en staat er opeens een update klaar waarmee je dan misschien al een maand of 3 al een security lek had zitten zonder dat je het wist.
Ik weet dat het voor de meeste thuis gebruikers geen of nauwelijks een issue zal zijn zo'n bug, maar de makers wijzer er in iedergeval wel op en ze geven een tijdelijk alternatief.
Dat het voor een hoop sites niet werkbaar is weet ik, maar dat zal een beslissing die een ieder voor zichzelf moet nemen ivm de risico's wanneer jet het aan laat staan.

[tweakerbee]

MS zegt meestal hetzelfde: Schakel ActiveX of JavaScript e.d. uit. En iedereen zit dan te zeuren!

't Is gewoon ook een grove fout van Opera. Zeker voor een "betaal" browser vind ik dat er snel een patch moet komen!!!

[Verwijderd]

Het is vandaag de 21e. Voor het eind van de maand IS snel! Heb je enig idee hoeveel er mis kan gaan als je drie regeltjes code veranderd in een project van wellicht enkele honderdduizenden regels code? Daarom moet iedere patch eerst zorgvuldig getest worden op 'regressions', en of de bug ook echt in alle gevallen echt gefixed is. Wees *blij* dat ze er een weekje voor nemen, ipv vandaag als een patch uit de deur te stampen! Als ze dat zouden doen zou je voor je 'betaal browser' er waarschijnlijk vijf problemen voor terugkrijgen, en dat wil je toch zeker niet? Het lijkt mij eerder een zeer goeie zaak dat ze hun geld aan QA, Quality Assurance, besteden.

En om het nou een "grove fout" te noemen. Tja, het is een security bug, die zijn nooit prettig, maar de cookies van een ander domain lezen is nou ook niet bepaald een wereldramp. Iedere andere browser die ooit gemaakt is heeft in het verleden ook zulke bugs gehad, en er zullen er in de toekomst nog zeker meer volgen.

[Randal Peelen]

De fout is niet gruwelijk groot of levensbedreigend. In IE zitten nog steeds fouten die al ontdekt zijn, en hoe vaak wordt daar nou eigenlij echt gebruik van gemaakt? Als zij binnen een week een upgrade kunnen maken vind ik het al lang knap. En om nou in een week een heel stel mensen aan het werk te zetten om elke Opera gebruiker het leven zuur te maken door in zijn / haar history map te kijken? Nah, dat gaat een bietje ver niet? Er moet een heel wat gevaarlijker gat gevonden worden wil men met hoge spoed dag en nacht gaan werken... dit is wel een gat maar geen grote, eerder een gaatje.

[Verwijderd]

Deze discussie is eerder al gevoerd... Als Microsoft ZELF een lek ontdekt heb ik liever dat ze dat stil houden tot ze het gefixt hebben in plaats van het lek aan de rest van de wereld bloot te geven.
Het is natuurlijk vaak zo dat een hacker o.i.d. een lek ontdekt. Dan verspreid het nieuws zich zo snel dat Microsoft er voor zal blijven kiezen haar klanten een tijdelijke oplossing te bieden. Groot voordeel van MS is natuurlijk wel dat ze genoeg personeel hebben om een snel een fix de markt op de gooien.

[Verwijderd]

Ehmm... was er begin deze maand niet een zelfde soort bug in IE ontdekt? En wat was het MS advies toen? Juist: Scripting uitzetten. Niets geheimhouden, niet 'ineens' een fix, gewoon exact hetzelfde verhaaltje als hier.

Oftewel, je redeneert vanuit een MS haat, niet vanuit realisme.

//edit: even de bijbehorende post opgezocht, het ging hier om cookies maar het systeem blijft hetzelfde:
http://www.tweakers.net/nieuws/19149?

//edit2: hmm, is dit niet exact dezelfde bug?

[CubicQ]

Dat lijkt me de enigste reactie die mogelijk is. Trouwens ook wel een standaard-reactie. MS raadt altijd precies hetzelfde aan als er een JS-related security bug ontdekt wordt.

Maar ach, hoeveel mensen zouden dat nou werkelijk doen? Ik denk vrij weinig... dus het is meer om zichzelf in te dekken.

[Marger]

Ik vind het trouwens erg slecht als een browser zonder javascript niet fatsoenlijk te bekijken is. Net zo idioot als een site IE only maken. Je maakt toch altijd netjes een versie die met een simpele browser als Lynx ook te bekijken is, anders neem je je bezoekers niet serieus.

"Mensen, kom allemaal op onze site kijken.":
"Ja, maar ik heb lynx."
"Dan neem maar IE."
"Ja, maar ik heb geen Windows."
"Dan koop je dat maar."
"Dat draait niet op mijn 486."
"Dan koop maar een echte computer.""

[ManTra]

Volgens mij hangt dat een beetje van je doelgroep af.

Als spelletjes fabrikant mag je denk ik wel een beetje eisen stellen bijv. Ik neem aan dat er niemand is iig die Quake 3 in Win 3.11 met op een 486 in 256 kleurenmodus probeert te draaien.

Daarom vind ik dat je best kan zeggen dat een website niet werkt voor bepaalde configuraties.
Tis eigenijk software, zo'n website, vandaar dus bovenstaande vergelijking.

[Marger]

Als alle websites eisen gaan stellen aan de gebruiker, dan gaat het hele vrijheidsidee van internet natuurlijk niet meer op.

Bovendien: als ik op mijn thuis-PC Quake 3 speel, wil dat toch niet zeggen dat ik op diezelfde PC de website ook bezoek? Misschien werk ik wel met een niet-grafische Unix-variant op mijn werk en wil ik in mijn pauze even info zoeken over het spel dat ik thuis speel. Om maar een voorbeeld te noemen. Ik wil alleen maar zeggen dat er zoveel verschillende situaties kunnen zijn waarin je verhaal niet opgaat, dat het gewoon niet slim is om je website te richten op mensen die de configuratie hebben waarvan jij als maker vindt dat ze die zouden moeten hebben. Toeters en bellen okee, maar maak ook een cleane variant

[Verwijderd]

Het is eerder andersom. Stel iemand heeft een MS computer en MS software gekocht en wil een website maken.

Jij gaat die persoon nu opdringen z'n site ook voor andere browsers beschikbaar te maken omdat jij geen MS wilt kopen.

Hoe het zo gekomen is is een tweede verhaal, maar feit is dat het overgrote deel der internetters MS software en een MS browser gebruikt. Als een website-bouwer dan besluit een site MS only te maken moet je niet gaan zeggen dat MS een monopoly oplegt. Jij maakt een keuze (geen MS) en aan die keuze zit een consequentie (geen MS-only websites).

En ja, ook op een 486 kun je met een MS browser websites bekijken (en dat loopt nog best lekker ook)

[Marger]

Reactie op hezik:

Ga me nou niet op het voorbeeld van die 486 pakken, want dat doet er natuurlijk niet toe. Dan kan ik namelijk wel weer gaan zeggen dat "windows kopen" tegenwoordig betekent Windows XP aanschaffen en dat draait toch echt niet op een 486. Zo'n soort discussie is zinloos.

Jij gaat die persoon nu opdringen z'n site ook voor andere browsers beschikbaar te maken omdat jij geen MS wilt kopen.

Ik dring niemand iets op. Als je een website gaat bouwen, dan gebruik je HTML, omdat het WWW daarop gestoeld is. Browsers als lynx en Opera houden zich perfect aan de HTML-standaard, dus is er niks aan de hand. Maar webdesigners kiezen er bewust voor om MS-specifieke dingen in hun websites in te bouwen. Leuk, maar daar kiezen zij dan toch echt zelf voor, ik dring hun dat niet op. Als je bewust van de HTML-standaard gaat afwijken, dan kies je er dus voor om mensen, die daar niet op voorbereid zijn, een website met fouten voor te schotelen, ofwel de toegang tot die website te ontzeggen, ofwel te dwingen je aan jouw wensen aan te passen. Zo simpel ligt het. Die beslissing ligt dus geheel bij de ontwerpers.

Bovendien is mijn punt niet dat het van mij niet mag, ik noem het alleen "niet slim" en "idioot" om te doen. De bezoekers met "niet-compatibele" browsers komen echt nooit meer terug, dus je snijdt je als ontwerper zelf in je vingers. En dan kan men wel zeggen: "De statistieken geven aan dat 95% van mijn bezoekers wel IE gebruikt", maar dan zeg ik: dat zijn statistieken. Ten eerste is dat percentage natuurlijk zo hoog omdat de mensen met andere browsers denken "rot op met je gammele site". Ten tweede kan bijv. in Opera "Identify as MSIE" aanstaan, waardoor Opera meegeteld wordt als IE 5.0 of zo. Dat zijn al twee hele simpele dingen die de stats verneuken, er zijn er dus ongetwijfeld meer. Als je weet dat Opera door heel veel mensen gedownload wordt, kun je er donder op zeggen dat het ook door die mensen gebruikt wordt. Kortom, punt blijft: het is slimmer om minstens ook een site zonder javascript en andere zooi te maken, zodat die versie in elk geval door alle browsers te bekijken is.

[Verwijderd]

Reactie op Marger:

Ik ben het grotendeels met je eens, op 1 punt na:

...ofwel de toegang tot die website te ontzeggen, ofwel te dwingen...

Daar zit de fout in je redenering. Ja webbouwers kiezen er bewust voor MS-only te ontwerpen. Daarmee ontzeggen ze jou helemaal niets. Jij maakt de keuze wel of geen IE op mijn systeem, en het gevolg daarvan is dat je die site niet kunt zien.

Op deze manier heeft iedereen een keuze gehad vroeger of later. Als je gaat zeggen 'ik wil geen MS, DUS de webbouwers moeten daar rekening mee houden' dan dwing je hun iets op, niet andersom.

Probleem is dat niet iedereen de kennis heeft om een website voor alle browsers te bouwen. Veel mensen vertrouwen op bv Frontpage ( ) en daar komt vnl. IE-gericht spul uit.

[Verwijderd]

NEE !!!

Hij bedoelde het MICRO$CHOFTNISME.

Altijd M$ kopen.

Altijd hardware bijkopen omdat je M$ moet kopen.

Games zijn geen websites. (appelen en peren vergelijken)

[Fatamorgana]

Dit bewijst weer voor de zoveelste keer dat men gewoon heel voorzichtig moet zijn met de software die men gebruikt, vooral op internet. In alle software zitten wel bugs, alleen komen ze misschien niet altijd zo snel aan het licht, maar dat ze aan het licht komen is goed want dan kan het weer gefixed worden.

Gewoon geen vertrouwelijke info automatisch opslaan met je browser enzo, dan kom je al een heel eind. Passwords onthouden en niet altijd zomaar alle gegevens overal invullen kan al een boel schelen.

Met deze nu gevonden bug kunnen ze weer zeggen dat cookies gevaarlijk zijn, maar dat zijn ze niet zolang OF de browser geen lekken heeft OF je gewoon geen belangrijke info er in hebt staan.

[sab]

Met deze nu gevonden bug kunnen ze weer zeggen dat cookies gevaarlijk zijn, maar dat zijn ze niet zolang OF de browser geen lekken heeft OF je gewoon geen belangrijke info er in hebt staan.

Ik zou eigenlijk eerder zeggen dat Javascript gevaarlijk is.

edit:

Troll? Dit is een troll:
-1 troll :ongezouten mening die grof/ongefundeerd is en onder de gordel.

Bron: http://gathering.tweakers.net/showtopic.php/120239

[Verwijderd]

I stem voor op een verbod op JavaScript

PS. je kan ook goede sites maken zonder javascript hoor, die geweldige fly-over(menu)s kunnen ook wel op een andere manier gemaakt worden.

[Verwijderd]

Ach, javascript heeft veel toegevoegd aan het kale HTML en het is ook nog eens best makkelijk te maken.

[kvdveer]

Zonder javascript? Ik neem aan dat je niet VBscript bedoelt?

Dat mag je me even laten zien.
Mouseovers gebruiken ALTIJD een scripttaal. Doorgaans is dat javascript, maar VBscipt kan ook voor de M$-lovers

[Verwijderd]

Jouw mening is anders absoluut ongefundeerd.

[jfk]

Dit probleem komt voor in de versies 5.02, 5.10, 5.11 5.12 voor Windows en in de 5.0 versie voor Linux

Oke, oftewel: in de nieuwste versies is het probleem al opgelost. Want voor windows is er 6.0 en voor Linux 5.05 (al is dat een technology preview, hij doet het al maanden prima bij mij).

edit:
Hm, op securityfocus staat: Systems affected:
Opera 5.12/Windows, Opera 5.0/Linux - probably other versions. Uitzetten javascript voorlopig dan toch maar ik zal... Oftewel: waarschuwing: Wees ook voorzichtig als je de nieuwste Opera hebt.

[RM-rf]

de bug lijkt in de nieuwste versie (6.0) zelfs erger dan in 5x

als je nog even verder zoekt op securityfocus kom je ook op een nog verontrustender bericht;
behalve cookies is via deze domain-bug je hele harddisk exposed:

One thing that wasn't mentioned and might not be obvious is that the
vulnerability can also be used to list files on the user's harddrive. This
is because the url [url="file://c:/"]file://c:/[/url] is seen as a html-page by Opera. Thus we can
use document.links to retrieve filenames and directories.

Opera released 6.0 beta 1 for windows three days ago and it's also
vulnerable. In fact it's actually much easier to write the script for it
and easier to make the attack invisible since Opera added better support
to iframe.

Opera 6.0 (not 5.x): List files and directories in c:/
<iframe id="rewrite" src="file://c:/" width=0 height=0></iframe>
<script language="javascript">
s="javascript:t=\'\';for(i=0 ;(c=document.links.item(i));i++){t+=c};alert(t);";
setTimeout('parent.rewrite.document.location="'+s+'"',1);
</script>

http://www.securityfocus.com/archive/1/240545

[TheGhostInc]

Nog best kans dat ze via versie 6 de bug gevonden hebben in versie 5.x

Versie 6 is trouwens nog steeds beta, vaak zijn betas erg goed, maar ze willen ook nog weleens grove fouten bevatten, alvast goed dat ze deze fouten gevonden hebben, dan kunnen ze actief gaan fixen.

[Verwijderd]

Niet zo vreemd bericht, ieder product heeft z'n gaatjes. Maar dat het bij Opera zo lang heeft geduurd voordat er eentje is gevonden is wel een goed teken.

*************************************************************

Ik denk eerder dat deze bug nu pas is gevonden om dat een veel kleiner percentage van de complete hoop browser gebruikers opera gebruikt. De verhouding zal denk ik zo rond 50% IE, 40% Netscape, 10% overig liggen.

Dus dan lijkt het me duidelijk dat er sneller een bug wordt gevonden in Internet explorer ja. Gewoon omdat een hacker sneller iemand met internet explorer tegen komt.

Overigens ben ik van mening dat het percentage IE hoger ligt maar om te voorkomen dat mensen dit als flame beschouwen doe ik maar voorzichtig!

[mullah]

dit soort bugs kom je niet toevallig tegen.. deze vindt je alleen als je ernaar zoekt, door te kijken of een bepaalde exploit van IE ook op opera van toepassing is bijvoorbeeld (met wat aanpassingen wel dus in dit geval) En die aanpassingen vinden alleen mensen die ook wel weten hoe een specifieke browser omgaat met javascript.

het feit dat deze bug er al een half jaar zit zonder dat hij is opgemerkt zou ik eerder verontrustend vinden

[StarLite]

Bij de vorige post over die cookie bug in IE stond een poll over welke browser men gebruikte, en daaruit bleek dat het IE5+6 percentage zo rond de 70%-80%ofzow lag [de poll staat er niet meer, dus ik kan het helaas niet nakijken]
Netscape werd verbazend weinig gebruikt [10-15% asl ik me goed herinner] [ik had verw8 dat dat % hoger zou liggen]

[Blue-eagle]

Tja, nu kunnen fabrikanten dus producten op de markt brengen die ook daadwerkelijk indruk maken op mij. Dat weten ze immers door mijn historie in m`n browser, en niet te vergeten: mijn cookies. Als ik alleen maar hardware sites bezoek dan mag het duidelijk zijn dat ik niet geinteresseerd ben inteletubbies.

Ik vind die bug eigenlijk niet erg. Zolang ze mijn e-mail adres maar met rust laten.

[RM-rf]

dan leg je de verantwoordelijkheid erg makkelijk bij de fabrikanten en dontent-providers, alsof je de deur van je auto nooit op slot doet en een briefje ophangt "lieve Junk, wil je zo vriendelijk zijn om de autoradio niet mee te nemen en geen naalden achter te laten in mn auto als er even in gaat schuilen voor de regen?"
Je moet maar hopen dat Gateway je dan met rust laat zodra de nieuwe teletubbie-iMac uitkomt.

overigens is de bug exact dezelfde als de onlangs in explorer 5.5/6 gemeldde, ze werken allebei met domain-overrullende about:-exploit,
wordt het dan toch eens wat met crossbrowser standaards?

typisch is wel dat normaal als geen domain geset is, of hier wat misgaat de browser (msie) het domain op [undefined domain] set, die verder niet te checken is (ook niet meer vanaf het oorspronkelijke domain), via about:<script>alert(document.domain)</script> set msie (heb hier zelf geen Opera) de document.domain op "" (lege string) deze is door ieder domain te lezen, zelfs als je dit als ontwikkelaar wilt toepassen (an sich is als je cookie set is het domain te definieren) is dat anders dan via de about:-exploit niet te doen.
altijd genereert zoiets een [undefined domain]
dat zou betekenen dat dit een specifiek andere cookie-routine hanteert dan standaard pagina's (lokaal browsen en webpagina's functioneren wel gelijk)

als ontwikkelaar kan het wel degelijk handig zijn de keus te hebben een cross-domain cookie te gebruiken (al kun je afvragen of het vanuit gebruikers-standpunt wenselijk is op een publieke site) specifiek voor ontwikkel doeleinden, of via een intranet netwerk

[Battle Bunny]

Niet zo vreemd bericht, ieder product heeft z'n gaatjes. Maar dat het bij Opera zo lang heeft geduurd voordat er eentje is gevonden is wel een goed teken.

Volgens mij zijn er weinig sites die van Opera-specific gaten gebruikt zullen maken, dus ik vrees voor niets!

EDIT: Aan het einde van de maand is de patch pas klaar? Hier kunnen ze wel wat leren van bijvoorbeeld MS, die doen dat in enkele dagen

Het is toch niet tedoen om te surfen zonder Javascript

[Verwijderd]

Volgens mij zijn er weinig sites die van Opera-specific gaten gebruikt zullen maken, dus ik vrees voor niets!

Misschien www.msn.com?
[off topic]
No flame intended
[/off topic]

[Verwijderd]

Misschien www.msn.com?

Bijna goed: Hotmail was het waar het iig bij versie 5.x niet mogelijk was om in je inbox meel te selecteren en vervolgens te verwijderen. Het vakje aanvinken ging goed, maar na het drukken op de delete knop gaf hij doodleuk de mededeling dat er geen meeltjes geselecteerd waren!.
En nou wil ik niet direct om een troll vragen maar ik vind het zelf vrij opvallend, dat wanneer ik tientallen sites per dag bezoek en dit probleem verder nooit tegenkom behalve op MicroSoft's Hotmail, en alleen onder Opera, wat in mijn ogen toch een steeds populairdere borwser wordt, met de mogelijkheid om serieus IE gebruikers weg te kapen. (lange zin )

Maar goed, in versie 6 hebben ze die onzin toch opgelost.

[mullah]

opera heeft een iets andere javascript implementatie dan msie. Waardoor, als hotmail javascript dingen gebruikt voor het selecteren van mailtjes, opera de variabelen die daarmee te maken hebben niet altijd kan zien.

En bij microsoft hebben ze dus niet de moeite genomen om te kijken naar opera, en hun hotmail daarvoor aan te passen... pech voor opera&hotmail gebruikers.

Toch weet ik vrij zeker dat de meeste opera gebruikers wel zoveel verstand van computers hebben dat ze voor hotmail in zo een geval gewoon msie of outlook express pakken... of desnoods netscape.

* 786562 mullah

[StarLite]

EDIT: Aan het einde van de maand is de patch pas klaar? Hier kunnen ze wel wat leren van bijvoorbeeld MS, die doen dat in enkele dagen

Deze maand duurt ook nog maar 9 dagen hoor
Dus dat valt ook nog wel mee, zeker aangezien aan Opera heel wat minder mensen werken dan aan IE.

[Jack Flushell]

EDIT: Aan het einde van de maand is de patch pas klaar? Hier kunnen ze wel wat leren van bijvoorbeeld MS, die doen dat in enkele dagen

Het is bijna einde van de maand... dus binnen enkele dagen... net als MS.

edit:
had de reacties niet goed gelezen ... het stond er al..

[Battle Bunny]

Ik denk dat het al even bekend was bij Opera voordat het hier op Tweakers te lezen was. En vooral omdat Opera een commercieel bedrijf (duh) is, lijkt het mij beter als ze dit soort dingen onwijs snel klaar hebben. (Da's dan weer goede reclame).

[leuk_he]

Nu we het toch over opera hebben, als ik tweakers met opera 5.12 bekijk heb ik last dat hij heel regelmatig een reload doet. En daarbij spingt hij weer terug naar de hoofd-pagina. heel irritant. Kent iemand dit probleem?

[jfk]

Ja, dat 5.12 bij een reload terugspringt naar de frontpage, dat heb ik ook. Maar, hoera hoera, Opera 6.0 (windows) maakt die fout niet meer. Upgraden dus

[Verwijderd]

Zou dat misschien te maken kunnen hebben met de Auto-reload instellingen die in je Tweakers.net profile staan? Ik heb dit zelf niet getest, maar zag dat het bij mij op 2 minuten staat. Misschien het proberen waard? Ik gebruik zelf Opera en heb het probleem nog nooit gehad, waarschijnlijk omdat ik niet ingelogd ben. Probeer het is...

[RobT]

2 dingen: moet je alleen 'javascript' uitzetten of ook java?
2e: mooi ellendig: ik kan hier niet meer posten oid zonder javascript..

[GraveR]

1) Nee. Javascript staat volledig los van Java
Javascript is inderdaad een erg ongelukkig gekozen naam.

2) Dat is vervelend

[yiNXs]

En wie durft er nu nog te zeggen dat Opera geen volwaardige browser is!

Wat IE kan kan Opera dus ook

[Battle Bunny]

Nu maar hopen dat ze niet IE gaan proberen te overtreffen

[AVL]

Let op: Opera Software zegt dat de functie "Use cookies to trace password protected documents" aangezet moet worden in je preferences om het belangrijkste probleem op te omzeilen. Hierbij het verzoek om dit ook in de nieuwspost te plaatsen.

Hierdoor wordt het volgende gedaan:

You should be able to resolve the cookie issue by enabling "Use cookies to trace password protected documents", which means that pages with password protection aren't cached, cookies aren't stored, the URL shouldn't be displayed in History, etc. This is a "paranoia" option, and makes a few pages unusable. As you are probably aware, many web technologies aren't very secure, but it is inconvenient for the user to block these. This is why the user should be given a choice to block privacy related information.

[RM-rf]

ehm.. ik weet dat Guninsky dat schreef (hij beweerde weer dat Opera dat aanraadde) maar het vreemde is nu dat ook cookies vulnerable zijn, welk nut heeft het dan om opeens alle data centraal in cookies op te slaan?
maak je het dan juist niet eenvoudiger met een paar regelig scriptje alle cookie-content te laten versturen, dus eventuele userdata, history, en password-protected documents, en niet specifiek de verschillende objects door te lopen? daarbij cookies zouden aan limieten gebonden moeten zijn, qua aantal en filesize, nieuwe data boven de limiet 'duwt' d oudste data weg.