Wymuszaj globalne ustawienia bezpieczeństwa i prywatności Flash Playera

Wypróbuj Nasz Instrument Do Eliminowania Problemów

Stali bywalcy Ghacków wiedzą, że można skonfigurować Adobe Reader z poziomu menedżera ustawień strona w witrynie firmy Macromedia. Administratorzy systemu i eksperci ds. Bezpieczeństwa rozwiązali dwa problemy z dostępnością online menedżera ustawień. Atakujący mogą na przykład fałszywe certyfikaty w celu wprowadzenia zmian w ustawieniach. Innym problemem jest to, że nie jest możliwe wprowadzenie zmian dla wszystkich użytkowników systemu.

Jest dobrze strzeżoną tajemnicą, że Adobe Flash Player można konfigurować globalnie. Administratorzy i użytkownicy, którzy chcą to zrobić, muszą utworzyć plik mms.cfg. Ten plik musi być przechowywany w następujących katalogach, aby Flash Player miał do niego dostęp:

  • Windows:% Windir% System32 Macromed Flash
  • Macintosh: / Library / Application Support / Macromedia
  • Linux: / etc / adobe /

Plik konfiguracyjny obsługuje następujące parametry:

  • AllowUserLocalTrust Pozwala uniemożliwić użytkownikom oznaczanie jakichkolwiek plików w lokalnych systemach plików jako zaufanych.
  • AssetCacheSize Umożliwia określenie sztywnego limitu (w MB) ilości lokalnej pamięci używanej przez program Flash Player do przechowywania typowych składników Flash.
  • AutoUpdateDisable Pozwala zapobiec automatycznemu sprawdzaniu i instalowaniu przez program Flash Player zaktualizowanych wersji.
  • AutoUpdateInterval Pozwala określić, jak często ma być sprawdzana dostępność zaktualizowanej wersji programu Flash Player.
  • AVHardwareDisable Pozwala uniemożliwić plikom SWF dostęp do kamer internetowych lub mikrofonów.
  • DisableDeviceFontEnumeration Pozwala zapobiec wyświetlaniu informacji o zainstalowanych czcionkach.
  • DisableNetworkAndFilesystemInHostApp Umożliwia zapobieganie wszelkiego rodzaju dostępowi do sieci lub systemu plików.
  • DisableProductDownload Pozwala zapobiec pobieraniu aplikacji z natywnym kodem, które są podpisane cyfrowo i dostarczane przez firmę Adobe.
  • DisableSockets Pozwala włączyć lub wyłączyć użycie metod Socket.connect () i XMLSocket.connect ().
  • EnableSocketsTo Umożliwia utworzenie białej listy serwerów, z którymi połączenia są dozwolone.
  • EnforceLocalSecurityInActiveXHostApp Umożliwia wymuszenie lokalnych reguł zabezpieczeń dla określonej aplikacji.
  • FileDownloadDisable Pozwala zapobiec wykonywaniu pobierania plików przez interfejs API FileReference ActionScript.
  • FileUploadDisable Pozwala zapobiec wysyłaniu plików przez interfejs API FileReference ActionScript.
  • FullScreenDisable Pozwala wyłączyć wyświetlanie plików SWF w trybie pełnoekranowym, które są odtwarzane za pośrednictwem wtyczki przeglądarki.
  • LegacyDomainMatching Pozwala określić, czy pliki SWF utworzone dla programu Flash Player 6 i wcześniejszych mogą wykonywać operacje, które zostały ograniczone w nowszej wersji programu Flash Player.
  • LocalFileLegacyAction Pozwala określić, w jaki sposób program Flash Player ma określać, czy wykonać określone lokalne pliki SWF, które zostały pierwotnie utworzone dla programu Flash Player 7 i wcześniejszych.
  • LocalFileReadDisable Pozwala uniemożliwić lokalnym plikom SWF dostęp do odczytu plików na lokalnych dyskach twardych.
  • LocalStorageLimit Pozwala określić sztywny limit ilości lokalnej pamięci używanej przez program Flash Player (na domenę) dla trwałych obiektów udostępnionych.
  • OverrideGPUValidation Zastępuje sprawdzanie poprawności wymagań potrzebnych do zaimplementowania kompozycji GPU.
  • ProductDisabled Tworzy listę aplikacji ProductManager, których użytkownicy nie mogą instalować ani uruchamiać.
  • RTMFPP2P Wyłącz Określa, w jaki sposób konstruktor NetStream łączy się z serwerem, gdy określona jest wartość peerID, drugiego parametru przekazywanego do konstruktora.
  • RTMFPTURNProxy Pozwala programowi Flash Player na nawiązywanie połączeń RTMFP przez określony serwer TURN oprócz zwykłych gniazd UDP.
  • ThirdPartyStorage Pozwala określić, czy pliki SWF innych firm mogą odczytywać i zapisywać lokalnie trwałe obiekty udostępnione.

Większość opcji można ustawić na 0 = fałsz lub 1 = prawda. Podstawowym przykładem jest polecenie AVHardwareDisable = 1, które blokuje dostęp do pliku SWF do kamer internetowych i mikrofonów. Wartość 0 umożliwia użytkownikowi skonfigurowanie ustawienia w Menedżerze ustawień.

Parametry prywatności:

AVHardwareDisable = [0,1]
DisableDeviceFontEnumeration = [0,1]

Określa, czy pliki SWF mogą pobierać listę zainstalowanych czcionek z systemu komputerowego. Ustawienie wartości 1 oznacza, że ​​nie mogą tego zrobić, a 0 oznacza, że ​​informacje mogą zostać zwrócone.

Parametry interfejsu użytkownika:

FullScreenDisable = [0,1]

Określa, czy plik SWF może być wyświetlany w trybie pełnego ekranu. Wartość 1 zapobiega temu, a 0 pozwala.

Opcje ładowania i przechowywania danych:

LocalFileReadDisable = [0,1]

Wartość 1 uniemożliwia lokalnym plikom SWF dostęp do odczytu plików na lokalnym dysku twardym, co oznacza, że ​​lokalne pliki SWF nie mogą działać. Zdalne pliki SWF nie mogą przesyłać ani pobierać plików.

FileDownloadDisable = [0,1]

Ustawienie parametru na 1 wyłącza pobieranie plików, podczas gdy 0 pozwala na to.

FileUploadDisable = [0,1]

To samo, co FileDownloadDisable, z tą różnicą, że blokuje lub zezwala na przesyłanie plików.

LocalStorageLimit = [1, 2, 3, 4, 5, 6]

Ustawia to limit lokalnej pamięci, którą Flash Player może przydzielić na domenę. (1 = brak miejsca, 2 = 10 KB, 3 = 100 KB, 4 = 1 MB, 5 = 10 MB, 6 = brak limitu]

ThirdPartyStorage = [0,1]

Jeśli ta wartość jest ustawiona na 1, pliki SWF innych firm (te, które pochodzą z innej domeny niż bieżąca) mogą odczytywać i zapisywać lokalnie trwałe obiekty udostępnione. Jeśli ta wartość jest ustawiona na 0, pliki SWF innych firm nie mogą czytać ani zapisywać lokalnie trwałych obiektów współużytkowanych.

AssetCacheSize = [0, liczba megabajtów]

Ta wartość określa sztywny limit (w MB) ilości lokalnej pamięci używanej przez program Flash Player do przechowywania typowych składników Flash. Jeśli ta opcja nie jest zawarta w pliku mms.cfg, Menedżer ustawień pozwala użytkownikowi określić, czy zezwolić na przechowywanie komponentów. Jednak użytkownik nie może określić, ile miejsca w lokalnej pamięci ma używać. Domyślny limit to 20 MB.

Opcje aktualizacji:

AutoUpdateDisable = [0,1]

Jeśli jest ustawiony na 1, Flash Player wyłącza automatyczną aktualizację. Uniemożliwia to programowi Flash Player okresowe sprawdzanie dostępności zaktualizowanych wersji. Jeśli jest ustawiona na 1, następujące parametry są ignorowane.

AutoUpdateInterval = [liczba dni]

Definiuje interwał, w którym Flash Player sprawdza dostępność nowych wersji. Wartość domyślna to 30 dni.

DisableProductDownload = [0,1]

Jeśli ta wartość jest ustawiona na 0 (wartość domyślna), program Flash Player może instalować aplikacje kodu natywnego, które są podpisane cyfrowo i dostarczane przez firmę Adobe. Firma Adobe wykorzystuje tę możliwość do dostarczania aktualizacji programu Flash Player w ramach procesu instalacji ekspresowej zainicjowanej przez programistę oraz do udostępniania funkcji udostępniania ekranu w programie Adobe Acrobat Connect. Jeśli ta wartość jest ustawiona na 1, te możliwości są wyłączone.

ProductDisabled = nazwa aplikacji

Ta opcja jest skuteczna tylko wtedy, gdy DisableProductDownload ma wartość 0 lub nie ma jej w pliku mms.cfg; tworzy listę aplikacji ProductManager, których użytkownicy nie mogą instalować ani uruchamiać.

Opcje zabezpieczeń:

LegacyDomainMatching = [0,1]

To ustawienie określa, czy zezwolić plikowi SWF utworzonemu dla programu Flash Player 6 i wcześniejszych na wykonywanie operacji, która została ograniczona w nowszej wersji programu Flash Player.

LocalFileLegacyAction = [0,1]

To ustawienie kontroluje, w jaki sposób program Flash Player określa, czy wykonać określone lokalne pliki SWF, które zostały pierwotnie utworzone dla programu Flash Player 7 i wcześniejszych.

AllowUserLocalTrust = [0,1]

To ustawienie pozwala uniemożliwić użytkownikom oznaczanie jakichkolwiek plików w lokalnych systemach plików jako zaufanych (czyli umieszczanie ich w obszarze izolowanym zaufanym lokalnie). To ustawienie dotyczy plików SWF opublikowanych dla dowolnej wersji Flash.

EnforceLocalSecurityInActiveXHostApp = nazwa pliku wykonywalnego

Domyślnie zabezpieczenia lokalne są wyłączone, gdy formant ActiveX jest uruchomiony w aplikacji hosta innej niż przeglądarka. W rzadkich przypadkach, gdy powoduje to problem, można użyć tego ustawienia, aby wymusić lokalne reguły zabezpieczeń dla określonej aplikacji. Możesz wymusić zabezpieczenia lokalne dla wielu aplikacji, wprowadzając oddzielny wpis EnforceLocalSecurityInActiveXHostApp dla każdej aplikacji.

DisableNetworkAndFilesystemInHostApp = nazwa pliku wykonywalnego

Ta opcja jest podobna do EnforceLocalSecurityInActiveXHostApp, ale ma zastosowanie zarówno do wtyczek, jak i formantu ActiveX i narzuca surowsze mechanizmy zabezpieczeń. Gdy wtyczka lub formant ActiveX jest uruchomiony w określonej aplikacji, będzie wyglądał tak, jakby został określony parametr HTML allowNetworking = 'none'. Oznacza to, że żaden dostęp do sieci lub systemu plików nie będzie dozwolony, a plik SWF działający w programie Flash Player będzie działał bez możliwości ładowania jakichkolwiek dodatkowych nośników ani komunikacji z jakimikolwiek serwerami. Możesz wymusić lokalne zabezpieczenia wielu aplikacji, wprowadzając osobny

Opcje podłączenia gniazda

DisableSockets = [0,1]

Ta opcja włącza lub wyłącza używanie Socket.connect () i
Metody XMLSocket.connect (). Jeśli nie umieścisz tej opcji w pliku mms.cfg lub jeśli jej wartość jest ustawiona na 0, połączenia przez gniazdo będą dozwolone z każdym serwerem. Jeśli ta wartość jest ustawiona na 1, żadne połączenia przez gniazdo nie są dozwolone. Jeśli jednak chcesz wyłączyć niektóre, ale nie wszystkie połączenia gniazd, ustaw tę wartość na 1, a następnie użyj EnableSocketsTo, aby określić jeden lub więcej serwerów, z którymi można nawiązywać połączenia przez gniazdo.

EnableSocketsto = [nazwa hosta, adres IP]

Ta opcja jest skuteczna tylko wtedy, gdy DisableSockets ma wartość 1; tworzy białą listę serwerów, z którymi połączenia są dozwolone. W przeciwieństwie do większości innych opcji mms.cfg, możesz używać tej opcji tyle razy, ile jest to odpowiednie dla twojego środowiska. Należy zauważyć, że podane serwery są serwerami docelowymi, z którymi nawiązywane są połączenia przez gniazdo; nie są to serwery pochodzenia, z których są obsługiwane łączące się pliki SWF.

Składanie GPU:

OverrideGPUValidation = [0, 1]

Funkcja komponowania GPU jest ograniczona przez wersję sterownika dla kart graficznych. Jeśli kombinacja karty i sterownika nie spełnia wymagań potrzebnych do zaimplementowania komponowania, ustaw OverrideGPUValidation na 1, aby zastąpić walidację wymagań sterownika. Na przykład możesz chcieć włączyć komponowanie GPU podczas określonego zestawu testów, nawet jeśli sterownik wideo w maszynie testowej nie spełnia wymagań dotyczących tworzenia kompozycji. To ustawienie zastępuje bramkowanie wersji sterownika, ale nadal sprawdza wymagania dotyczące pamięci VRAM.

Opcje RTMFP:

RTMFPP2PDisable = [0, 1]

Ta opcja określa, w jaki sposób konstruktor NetStream łączy się z serwerem, gdy określona jest wartość peerID, drugiego parametru przekazywanego do konstruktora. Jeśli RTMFPP2PDisable ma wartość 0 lub nie ma go w pliku mms.cfg, można użyć połączenia peer-to-peer (P2P). Jeśli ta wartość wynosi 1, każda wartość określona dla peerID jest ignorowana, a połączenia P2P są d

RTMFPTURNProxy = URL serwera proxy TURN

Jeśli ta opcja jest obecna, program Flash Player próbuje nawiązać połączenia RTMFP przez określony serwer TURN oprócz zwykłych gniazd UDP. Serwery TURN są przydatne do przenoszenia ruchu sieciowego RTMFP przez zapory ogniowe, które w przeciwnym razie blokują pakiety UDP.

Dodatkowe informacje:

przewodnik administratora Flash Player 10.0
Witryna internetowa aplikacji Adobe Flash Player 10 Admin Guide
Przykład konfiguracji mms
Niedawny człowiek w środku Podatność [niemiecki]

Konfiguracja jest podstawowym plikiem przykładowym, który wyłącza sprawdzanie aktualizacji, sprzęt i wyliczanie czcionek. (podziękowania dla Huberta za przesłanie napiwku).