http://dev.w3.org/html5/spec-preview/dnd.html#dndevents
Вот тут в табличке видно что доступ к объектам есть только на ondrop. Во всех остальных случаях - Protected Mode. Оно и понятно: пользователь ведь может только "мимо проносить" файл, поэтому доступ появляется только когда он уже бросил его.