Flash и безопасность - PullRequest
       1

Flash и безопасность

2 голосов
/ 13 апреля 2011
  1. Как вес Flash против Silverlight и Html5 с точки зрения безопасности?
  2. Если я создаю веб-сайт во Flash или Flex, может ли хакер повлиять на объект swf и скомпрометировать компьютер посетителя или повлиять на то, как он видит объект swf?
  3. В прошлом Flash не считался безопасным, и, тем не менее, существуют уязвимости в безопасности. Может ли хакер использовать эти уязвимости безопасности, чтобы повлиять на приложения Flash / Flex / Air в целом, или же хакер создал приложение Flash, которое использует эти уязвимости безопасности?

Спасибо

Ответы [ 2 ]

5 голосов
/ 13 апреля 2011

1) Ну, с точки зрения безопасности, HTML5 будет «самым безопасным», но на самом деле все сводится к самому браузеру.Safari может быть взломан за 5 секунд, пока никто не смог взломать Chrome.Когда дело доходит до Flash или Silverlight, оба они в значительной степени одинаковы, но Flash становится более фальшивым, потому что он самый используемый / популярный.Это все равно, что сравнивать вирус для Windows по сравнению с Mac.Если кто-то создаст вирус (или взломать в этом случае), наиболее популярным средством будет охватить как можно больше людей.У меня никогда не было недостатка в безопасности Flash, и Adobe довольно хорошо подготовила исправление в течение нескольких недель после выпуска и довела его до общественности, чтобы защитить себя.Это в основном сводится к здравому смыслу;не открывайте отрывочные электронные письма, веб-сайты или вложения.

2) Единственный способ сделать это, если кто-то взломает ваш веб-сервер и разместит там свой собственный файл.Невозможно изменить способ отображения чего-либо без изменения самого SWF-файла.Однако человек может декомпилировать SWF-файл Flash для повторного использования вашего кода или обнаружения других проблем безопасности (например, подключения к серверу и т. Д.).Существуют такие приложения, как Trillix Flash Decompiler , которые делают это довольно хорошо, но с результирующим кодом очень сложно работать.Хорошая новость заключается в том, что вы можете запутать его, используя приложение типа SWFEncrypt , которое делает ваш код невозможным для чтения после декомпиляции.Честно говоря, если кто-то может извлечь «выгоду» из декомпиляции вашего кода, вы неправильно кодируете свое приложение, и в любом случае в вашей системе есть проблема с безопасностью.

3) Flash на самом деле очень безопасен, если вы этого не делаете ».не слушайте идиотов, извергающих настроения против вспышек, потому что они поклоняются Стиву Джобсу.Adobe находится на вершине каждой серьезной ошибки и следит за тем, чтобы эта ошибка была общедоступной, чтобы помочь пользователям (чего нельзя сказать о многих компаниях).Существуют браузеры с песочницей Flash для дополнительной безопасности (Chrome и Firefox 4).По сути, ошибкам Flash уделяется больше внимания, потому что Flash есть везде, но люди забывают, что в OS X, Safari и Windows есть еще более ужасающие ошибки.Кроме того, большинство ошибок, упомянутых в последнее время, связаны со встроенными Flash-фильмами в документах Excel / Word.Я предлагаю вам не открывать отрывочные документы от людей, которых вы не знаете ...

3 голосов
/ 13 апреля 2011

Вопрос действительно сводится к тому, разрешите ли вы загружать ненадежный контент вашим swf. В настоящее время существует множество XSS-атак с использованием едва доверяемого контента, а вектором атаки является Javascript (или «HTML5», если хотите). Кроме того, с постоянно растущим объемом доступа, который HTML5 будет предоставлять системе и данным пользователя, это может означать только увеличенную поверхность атаки для людей с плохими намерениями. Но опять же, это в основном зависит от того, позволяете ли вы выполнять сторонний код на своей странице ...

Если вы не допускаете сторонний код в свое приложение, то, если хакер не взломает вашу систему и не заменит ваш swf одним из своих собственных созданий, эти вопросы действительно не имеют большого значения, и если хакер 1003 * сделал сделал это, тогда действительно не имеет значения, будет ли это вспышка, серебристый свет или JS, вы и ваши пользователи будете тостами, несмотря ни на что.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...