Vynutit globální nastavení zabezpečení a ochrany osobních údajů Flash Player

Vyzkoušejte Náš Nástroj Pro Odstranění Problémů

Ghacks regulars ví, že je možné nakonfigurovat Adobe Reader ze správce nastavení strana na webových stránkách Macromedia. Správci systému a odborníci na bezpečnost řeší dva problémy s online dostupností správce nastavení. Útočníci mohou například falešné certifikáty provádět změny nastavení. Dalším problémem je, že není možné provádět změny pro všechny uživatele systému.

Je dobře udržovaným tajemstvím, že Adobe Flash Player lze konfigurovat globálně. Správci a uživatelé, kteří to chtějí udělat, potřebují vytvořit soubor mms.cfg. Aby byl přehrávač Flash Player přístupný, musí být tento soubor uložen v následujících adresářích:

  • Windows:% Windir% System32 Macromed Flash
  • Macintosh: / Library / Application Support / Macromedia
  • Linux: / etc / adobe /

Konfigurační soubor podporuje následující parametry:

  • AllowUserLocalTrust Umožňuje zabránit uživatelům v označování jakýchkoli důvěryhodných souborů v místních souborových systémech.
  • AssetCacheSize Umožňuje určit pevný limit v MB na množství místního úložiště, které Flash Player používá pro ukládání běžných součástí Flash.
  • AutoUpdateDisable Umožňuje zabránit aplikaci Flash Player v automatické kontrole a instalaci aktualizovaných verzí.
  • AutoUpdateInterval Umožňuje určit, jak často se má aktualizovaná verze aplikace Flash Player kontrolovat.
  • AVHardwareDisable Umožňuje zabránit souborům SWF v přístupu k webovým kamerám nebo mikrofonům.
  • DisableDeviceFontEnumeration Umožňuje zabránit zobrazování informací o nainstalovaných písmech.
  • DisableNetworkAndFilesystemInHostApp Umožňuje zabránit jakémukoli druhu přístupu k síti nebo systému souborů.
  • Zakázat stažení produktu Umožňuje zabránit stahování nativních kódových aplikací, které jsou digitálně podepsány a doručeny společností Adobe.
  • DisableSockets Umožňuje povolit nebo zakázat použití metod Socket.connect () a XMLSocket.connect ().
  • EnableSocketsTo Umožňuje vytvořit seznam povolených serverů, ke kterým je povoleno připojení soketu.
  • EnforceLocalSecurityInActiveXHostApp Umožňuje vynutit místní pravidla zabezpečení pro zadanou aplikaci.
  • FileDownloadDisable Umožňuje zabránit rozhraní ActionScript FileReference API provádět stahování souborů.
  • FileUploadDisable Umožňuje zabránit rozhraní API ActionScript FileReference v provádění nahrávání souborů.
  • FullScreenDisable Umožňuje zakázat zobrazování souborů SWF přes zásuvný modul prohlížeče v režimu celé obrazovky.
  • LegacyDomainMatching Umožňuje určit, zda soubory SWF vytvořené pro Flash Player 6 a starší mohou provádět operaci, která byla v novější verzi Flash Player omezena.
  • LocalFileLegacyAction Umožňuje určit, jak bude Flash Player určovat, zda se mají spouštět určité místní soubory SWF, které byly původně vytvořeny pro Flash Player 7 a starší.
  • LocalFileReadDisable Umožňuje zabránit místním souborům SWF v přístupu ke čtení souborů na místních pevných discích.
  • LocalStorageLimit Umožňuje určit pevný limit množství místního úložiště, které aplikace Flash Player používá (pro doménu) pro trvalé sdílené objekty.
  • PřepsatGPUValidation Přepíše ověření požadavků potřebných k implementaci kompilace GPU.
  • Produkt je zakázán Vytvoří seznam aplikací ProductManager, které uživatelé nemohou instalovat ani spouštět.
  • RTMFPP2PDisable Určuje, jak se konstruktor NetStream připojuje k serveru, když je zadána hodnota pro peerID, druhý parametr předán konstruktoru.
  • RTMFPTURNProxy Umožňuje Flash Player navázat připojení RTMFP přes určený server TURN kromě běžných soketů UDP.
  • ThirdPartyStorage Umožňuje určit, zda soubory SWF třetích stran mohou číst a zapisovat lokálně trvalé sdílené objekty.

Většina možností může být nastavena na 0 = false nebo 1 = true. Základním příkladem je příkaz AVHardwareDisable = 1, který blokuje přístup k souborům SWF k webovým kamerám a mikrofonům. Hodnota 0 umožňuje uživateli nakonfigurovat nastavení ve Správci nastavení.

Parametry ochrany osobních údajů:

AVHardwareDisable = [0,1]
DisableDeviceFontEnumeration = [0,1]

Definuje, zda soubory SWF mohou vytáhnout seznam nainstalovaných písem z počítačového systému. Nastavení na 1 znamená, že to nemohou udělat, zatímco 0 znamená, že informace lze vrátit.

Parametry uživatelského rozhraní:

FullScreenDisable = [0,1]

Definuje, zda lze soubor SWF zobrazit v režimu celé obrazovky. Hodnota 1 tomu brání, zatímco 0 to umožňuje.

Možnosti načítání a ukládání dat:

LocalFileReadDisable = [0,1]

Hodnota 1 zabraňuje místním souborům SWF mít přístup pro čtení k souborům na místním pevném disku, což znamená, že místní soubory SWF nelze spustit. Vzdálené soubory SWF nemohou nahrávat ani stahovat soubory.

FileDownloadDisable = [0,1]

Nastavení parametru na 1 zakáže stahování souborů, zatímco 0 to umožňuje.

FileUploadDisable = [0,1]

Stejné jako FileDownloadDisable, s tím rozdílem, že blokuje nebo umožňuje nahrávání souborů.

LocalStorageLimit = [1,2,3,4,5,6]

Tím se nastavuje limit místního úložiště, které může přehrávač Flash přidělit pro jednu doménu. (1 = žádné úložiště, 2 = 10 kB, 3 = 100 kB, 4 = 1 MB, 5 = 10 MB, 6 = žádný limit)

ThirdPartyStorage = [0,1]

Pokud je tato hodnota nastavena na 1, mohou soubory SWF třetích stran (ty, které pocházejí z jiné domény, než je aktuální), číst a zapisovat lokálně trvalé sdílené objekty. Pokud je tato hodnota nastavena na 0, soubory SWF třetích stran nemohou číst nebo zapisovat lokálně trvalé sdílené objekty.

AssetCacheSize = [0, počet megabajtů]

Tato hodnota určuje pevný limit v MB na množství místního úložiště, které Flash Player používá pro ukládání běžných součástí Flash. Pokud tato možnost není zahrnuta do souboru mms.cfg, Správce nastavení umožní uživateli určit, zda povolit ukládání komponent. Uživatel však nemůže určit, kolik místního úložného prostoru použít. Výchozí limit je 20 MB.

Možnosti aktualizace:

AutoUpdateDisable = [0,1]

Pokud je nastavena na 1, zakáže Flash Player automatickou aktualizaci. Tím zabráníte aplikaci Flash Player pravidelně kontrolovat aktualizované verze. Pokud je nastavena na 1, ignorují se následující parametry.

AutoUpdateInterval = [počet dní]

Definuje interval, ve kterém aplikace Flash Player kontroluje nové verze. Výchozí hodnota je 30 dní.

DisableProductDownload = [0,1]

Pokud je tato hodnota nastavena na 0 (výchozí), může Flash Player nainstalovat aplikace nativního kódu, které jsou digitálně podepsány a doručovány společností Adobe. Společnost Adobe používá tuto funkci k poskytování aktualizací přehrávače Flash Player prostřednictvím procesu expresní instalace iniciovaného vývojářem ak poskytování funkce sdílení obrazovky aplikace Adobe Acrobat Connect. Pokud je tato hodnota nastavena na 1, jsou tyto možnosti deaktivovány.

ProductDisabled = název aplikace

TT Tato možnost je účinná pouze v případě, že DisableProductDownload má hodnotu 0 nebo není v souboru mms.cfg přítomna; vytváří seznam aplikací ProductManager, které uživatelé nemají povoleno instalovat nebo spouštět.

Možnosti zabezpečení:

LegacyDomainMatching = [0,1]

Toto nastavení určuje, zda povolit souboru SWF vytvořenému pro aplikaci Flash Player 6 a starší k provedení operace, která byla v novější verzi aplikace Flash Player omezena.

LocalFileLegacyAction = [0,1]

Toto nastavení určuje, jak Flash Player určuje, zda se mají spouštět určité místní soubory SWF, které byly původně vytvořeny pro Flash Player 7 a starší.

AllowUserLocalTrust = [0,1]

Toto nastavení vám umožní zabránit uživatelům v označování jakýchkoli souborů v lokálních souborových systémech jako důvěryhodných (tj. Jejich umístění do karantény důvěryhodných místně). Toto nastavení se vztahuje na soubory SWF publikované pro jakoukoli verzi Flash.

EnforceLocalSecurityInActiveXHostApp = spustitelný název souboru

Ve výchozím nastavení je místní zabezpečení zakázáno vždy, když je ovládací prvek ActiveX spuštěn v hostitelské aplikaci bez prohlížeče. Ve výjimečných případech, kdy to způsobuje problém, můžete toto nastavení použít k vynucení pravidel místní bezpečnosti pro zadanou aplikaci. Místní zabezpečení pro více aplikací můžete vynutit zadáním samostatné položky EnforceLocalSecurityInActiveXHostApp pro každou aplikaci.

DisableNetworkAndFilesystemInHostApp = spustitelný název souboru

Tato možnost je podobná EnforceLocalSecurityInActiveXHostApp, ale vztahuje se na pluginy a ovládací prvky ActiveX a ukládá přísnější bezpečnostní kontroly. Když je v zadané aplikaci spuštěn ovládací prvek plug-in nebo ActiveX, bude to jako by byl zadán parametr HTML allowNetworking = 'none'. To znamená, že nebude povolen žádný přístup k síti ani k souborovému systému a SWF spuštěný v přehrávači Flash Player bude spuštěn bez možnosti načtení dalších médií nebo komunikace s jakýmikoli servery. Místní zabezpečení pro více aplikací můžete vynutit zadáním samostatné

Možnosti soketového připojení

DisableSockets = [0,1]

Tato volba povoluje nebo zakazuje použití Socket.connect () a
Metody XMLSocket.connect (). Pokud tuto možnost nezařadíte do souboru mms.cfg nebo pokud je její hodnota nastavena na 0, jsou soketová připojení povolena na libovolný server. Pokud je tato hodnota nastavena na 1, není povolena žádná soketová připojení. Pokud však chcete zakázat některá, ale ne všechna soketová připojení, nastavte tuto hodnotu na 1 a pak pomocí EnableSocketsTo určete jeden nebo více serverů, ke kterým lze soketová připojení provést.

EnableSocketsto = [název hostitele, adresa IP]

Tato možnost je účinná pouze v případě, že DisableSockets má hodnotu 1; vytvoří whitelist serverů, ke kterým je povoleno připojení soketu. Na rozdíl od většiny ostatních možností mms.cfg můžete tuto možnost použít tolikrát, kolikrát je pro vaše prostředí vhodné. Uvědomte si, že uvedené servery jsou cílové servery, ke kterým jsou navázána soketová připojení; nejedná se o servery původu, ze kterých se obsluhují připojující se soubory SWF.

Skládání GPU:

PřepsatGPUValidation = [0, 1]

Kompoziční funkce GPU je brána verzí ovladače pro grafické karty. Pokud kombinace karet a ovladačů neodpovídá požadavkům nezbytným pro implementaci kompozice, nastavte OverrideGPUValidation na 1 pro přepsání validace požadavků na ovladače. Můžete například chtít povolit kompilaci GPU během konkrétní testovací sady, i když ovladač videa ve zkušebním stroji nesplňuje požadavky na komponování. Toto nastavení má přednost před verzí ovladačů, ale stále kontroluje požadavky VRAM.

Možnosti RTMFP:

RTMFPP2PDisable = [0, 1]

Tato volba určuje, jak se konstruktor NetStream připojí k serveru, když je pro peerID zadána hodnota, druhý parametr předán konstruktoru. Pokud má RTMFPP2PDisable hodnotu 0 nebo není v souboru mms.cfg přítomen, lze použít připojení typu peer-to-peer (P2P). Pokud je tato hodnota 1, ignoruje se jakákoli hodnota zadaná pro peerID a připojení P2P jsou d

RTMFPTURNProxy = URL TURN proxy serveru

Pokud je tato možnost k dispozici, pokusí se Flash Player navázat připojení RTMFP přes určený server TURN kromě běžných soketů UDP. Servery TURN jsou užitečné pro přenos RTMFP síťového provozu prostřednictvím firewallů, které jinak blokují UDP pakety.

Dodatečné informace:

průvodce přehrávači Flash Player 10.0
Webové stránky Adobe Flash Player 10 Admin Guide.
Příklad konfigurace mms
Zranitelnost nedávného člověka ve středu [německý]

Konfigurace je základní příklad souboru, který zakazuje aktualizace, hardware a výčet písem. (děkuji za zaslání tipu Hubertovi).