Tvinga globala Flash Player-säkerhets- och sekretessinställningar

Prova Vårt Instrument För Att Eliminera Problem

Ghacks stamgästerna vet att det är möjligt att konfigurera Adobe Reader från inställningshanteraren sida på Macromedia-webbplatsen. Systemadministratörer och säkerhetsexperter har tagit upp två problem med online-tillgängligheten för inställningshanteraren. Angripare kan till exempel förfalska certifikat för att göra ändringar i inställningarna. Ett annat problem är att det inte är möjligt att göra ändringar för alla användare av ett system.

Det är en väl bevarad hemlighet att Adobe Flash Player kan konfigureras globalt. Administratörer och användare som vill göra det måste skapa filen mms.cfg. Denna fil måste lagras i följande kataloger för att få åtkomst till Flash Player:

  • Windows:% Windir% System32 Macromed Flash
  • Macintosh: / Library / Application Support / Macromedia
  • Linux: / etc / adobe /

Följande parametrar stöds av konfigurationsfilen:

  • AllowUserLocalTrust Låter dig förhindra användare från att beteckna alla filer på lokala filsystem som betrodda.
  • AssetCacheSize Låter dig ange en hård gräns, i MB, för mängden lokal lagring som Flash Player använder för lagring av vanliga Flash-komponenter.
  • AutoUpdateDisable Låter dig förhindra att Flash Player automatiskt söker efter och installerar uppdaterade versioner.
  • AutoUpdateInterval Låter dig ange hur ofta du ska leta efter en uppdaterad version av Flash Player.
  • AVHardwareDisable Låter dig förhindra att SWF-filer får åtkomst till webbkameror eller mikrofoner.
  • DisableDeviceFontEnumeration Låter dig förhindra att information om installerade teckensnitt visas.
  • DisableNetworkAndFilesystemInHostApp Låter dig förhindra nätverks- eller filsystemåtkomst av något slag.
  • DisableProductDownload Låter dig förhindra att inbyggda kodprogram som är digitalt signerade och levererade av Adobe hämtas.
  • DisableSockets Låter dig aktivera eller inaktivera användningen av Socket.connect () och XMLSocket.connect () -metoderna.
  • EnableSocketsTo Låter dig skapa en vitlista över servrar till vilka socketanslutningar är tillåtna.
  • EnforceLocalSecurityInActiveXHostApp Låter dig verkställa lokala säkerhetsregler för en specifik applikation.
  • FileDownloadDisable Låter dig förhindra att ActionScript FileReference API utför filnedladdningar.
  • FileUploadDisable Låter dig förhindra att ActionScript FileReference API utför filuppladdningar.
  • FullScreenDisable Gör att du kan inaktivera SWF-filer som spelas upp via en webbläsar-plugin från att visas i helskärmsläge.
  • LegacyDomainMatching Låter dig specificera om SWF-filer som produceras för Flash Player 6 och tidigare kan utföra en operation som har begränsats i en nyare version av Flash Player.
  • LocalFileLegacyAction Låter dig ange hur Flash Player avgör om vissa lokala SWF-filer ska köras som ursprungligen producerades för Flash Player 7 och tidigare.
  • LocalFileReadDisable Låter dig förhindra att lokala SWF-filer har läsåtkomst till filer på lokala hårddiskar.
  • LocalStorageLimit Låter dig ange en hård gräns för mängden lokal lagring som Flash Player använder (per domän) för ihållande delade objekt.
  • OverrideGPUValidation Åsidosätter valideringen av de krav som krävs för att implementera GPU-komposition.
  • ProductDisabled Skapar en lista med ProductManager-applikationer som användare inte får installera eller starta.
  • RTMFPP2PDisable Anger hur NetStream-konstruktören ansluter till en server när ett värde anges för peerID, den andra parametern överförs till konstruktören.
  • RTMFPTURNProxy Låter Flash Player göra RTMFP-anslutningar via den angivna TURN-servern utöver vanliga UDP-uttag.
  • ThirdPartyStorage Låter dig ange om SWF-filer från tredje part kan läsa och skriva lokalt bestående delade objekt.

De flesta alternativ kan ställas in på 0 = falskt eller 1 = sant. Ett grundläggande exempel är kommandot AVHardwareDisable = 1, som blockerar SWF-filåtkomst till webbkameror och mikrofoner. Ett värde på 0 tillåter användaren att konfigurera inställningen i Inställningshanteraren.

Sekretessparametrar:

AVHardwareDisable = [0,1]
DisableDeviceFontEnumeration = [0,1]

Definierar om SWF-filer kan dra listan över installerade teckensnitt från datorsystemet. Att sätta den till 1 betyder att de inte kan göra det, medan 0 betyder att informationen kan returneras.

Parametrar för användargränssnitt:

FullScreenDisable = [0,1]

Definierar om en SWF-fil kan visas i helskärmsläge. Ett värde på 1 förhindrar det, medan 0 tillåter det.

Alternativ för inläsning och lagring av data:

LocalFileReadDisable = [0,1]

Ett värde på 1 förhindrar lokala SWF-filer från att ha läsåtkomst till filer på den lokala hårddisken, vilket betyder att lokala SWF-filer inte kan köras. Fjärr SWF kan inte ladda upp eller ladda ner filer.

FileDownloadDisable = [0,1]

Att ställa in parametern till 1 inaktiverar nedladdningar av filer, medan 0 tillåter det.

FileUploadDisable = [0,1]

Samma som FileDownloadDisable, med skillnaden att det blockerar eller tillåter filuppladdning.

LocalStorageLimit = [1,2,3,4,5,6]

Detta sätter gränsen för lokal lagring som Flash-spelaren kan tilldela per domän. (1 = ingen lagring, 2 = 10 kB, 3 = 100 kb, 4 = 1 MB, 5 = 10 MB, 6 = ingen gräns]

ThirdPartyStorage = [0,1]

Om detta värde är inställt på 1, kan SWF-filer från tredje part (de som har sitt ursprung från en annan domän än den nuvarande) läsa och skriva lokalt bestående delade objekt. Om detta värde är inställt på 0, kan SWF-filer från tredje part inte läsa eller skriva lokalt bestående delade objekt.

AssetCacheSize = [0, antal megabyte]

Detta värde anger en hård gräns, i MB, för mängden lokal lagring som Flash Player använder för lagring av vanliga Flash-komponenter. Om detta alternativ inte ingår i filen mms.cfg låter Inställningshanteraren användaren ange om komponentlagring ska tillåtas. Användaren kan dock inte ange hur mycket lokalt lagringsutrymme som ska användas. Standardgränsen är 20 MB.

Uppdateringsalternativ:

AutoUpdateDisable = [0,1]

Om den är inställd på 1 inaktiverar Flash Player automatisk uppdatering. Detta förhindrar att Flash Player regelbundet ser efter uppdaterade versioner. Om den är inställd på 1 ignoreras följande parametrar.

AutoUpdateInterval = [antal dagar]

Definierar intervallet i vilket Flash Player letar efter nya versioner. Standardvärdet är 30 dagar.

DisableProductDownload = [0,1]

Om detta värde är inställt på 0 (standard) kan Flash Player installera inbyggda kodprogram som är digitalt signerade och levererade av Adobe. Adobe använder denna kapacitet för att leverera Flash Player-uppdateringar genom den utvecklare-initierade Express Installationsprocessen och för att leverera Adobe Acrobat Connect-skärmdelningsfunktionen. Om detta värde är inställt på 1 inaktiveras dessa funktioner.

ProductDisabled = applikationsnamn

Det här alternativet är endast effektivt när DisableProductDownload har ett värde på 0 eller inte finns i filen mms.cfg; det skapar en lista med ProductManager-applikationer som användare inte får installera eller starta.

Säkerhetsalternativ:

LegacyDomainMatching = [0,1]

Denna inställning styr om en SWF-fil som produceras för Flash Player 6 och tidigare ska utföra en operation som har begränsats i en nyare version av Flash Player.

LocalFileLegacyAction = [0,1]

Den här inställningen styr hur Flash Player avgör om vissa lokala SWF-filer ska köras som ursprungligen producerades för Flash Player 7 och tidigare.

AllowUserLocalTrust = [0,1]

Den här inställningen låter dig förhindra användare från att beteckna filer på lokala filsystem som betrodda (det vill säga att placera dem i den lokala betrodda sandlådan). Den här inställningen gäller SWF-filer som publiceras för alla versioner av Flash.

EnforceLocalSecurityInActiveXHostApp = körbart filnamn

Som standard är lokal säkerhet inaktiverad när ActiveX-kontrollen körs i en värdapplikation som inte är webbläsare. I sällsynta fall när detta orsakar ett problem kan du använda den här inställningen för att upprätthålla lokala säkerhetsregler för den angivna applikationen. Du kan verkställa lokal säkerhet för flera applikationer genom att ange en separat EnforceLocalSecurityInActiveXHostApp-post för varje applikation.

DisableNetworkAndFilesystemInHostApp = körbart filnamn

Det här alternativet liknar EnforceLocalSecurityInActiveXHostApp, men gäller såväl plug-ins som ActiveX-kontrollen och ställer striktare säkerhetskontroller. När en plug-in- eller ActiveX-kontroll körs inom en specifik applikation kommer det att vara som om HTML-parametern allowNetworking = 'none' hade angetts. Det vill säga, ingen nätverks- eller filsystemåtkomst av något slag kommer att tillåtas, och SWF som körs i Flash Player kommer att köras utan möjlighet att ladda ytterligare media eller kommunicera med några servrar. Du kan verkställa lokal säkerhet för flera applikationer genom att ange en separat

Alternativ för uttag för anslutning

DisableSockets = [0,1]

Detta alternativ aktiverar eller inaktiverar användningen av Socket.connect () och
XMLSocket.connect () -metoder. Om du inte inkluderar det här alternativet i filen mms.cfg, eller om dess värde är inställt på 0 är socketanslutningar tillåtna för alla server. Om detta värde är inställt på 1 är inga socketanslutningar tillåtna. Men om du vill inaktivera vissa men inte alla socketanslutningar, ställ in detta värde på 1 och använd sedan EnableSocketsTo för att ange en eller flera servrar till vilka socketanslutningar kan göras.

EnableSocketsto = [värdnamn, IP-adress]

Det här alternativet är endast effektivt när DisableSockets har ett värde på 1; det skapar en vitlista över servrar till vilka socketanslutningar är tillåtna. Till skillnad från de flesta andra mms.cfg-alternativ kan du använda det här alternativet så många gånger som är lämpligt för din miljö. Observera att de angivna servrarna är målservrar, till vilka socketanslutningar görs; de är inte ursprungsservrar, från vilka de anslutande SWF-filerna serveras.

GPU Compositing:

OverrideGPUValidation = [0, 1]

GPU-kompositionsfunktionen är grindad av drivrutinsversionen för grafikkort. Om en kort- och förarkombination inte stämmer överens med kraven som krävs för att implementera sammansättning, ställ in OverrideGPUValidation till 1 för att åsidosätta valideringen av drivkraven. Till exempel kanske du vill att GPU-kompositionering ska vara aktiverad under en specifik testsvit, även om videodrivrutinen i testmaskinen inte uppfyller kompositionskraven. Den här inställningen åsidosätter drivrutinens grindning men kontrollerar fortfarande för VRAM-krav.

RTMFP-alternativ:

RTMFPP2PDisable = [0, 1]

Det här alternativet anger hur NetStream-konstruktören ansluter till en server när ett värde anges för peerID, den andra parametern överförs till konstruktören. Om RTMFPP2PDisable har ett värde på 0 eller inte finns i filen mms.cfg, kan en peer-to-peer-anslutning (P2P) användas. Om detta värde är 1 ignoreras något som anges för peerID och P2P-anslutningar är d

RTMFPTURNProxy = URL till TURN-proxyserver

Om det här alternativet finns, försöker Flash Player att skapa RTMFP-anslutningar via den angivna TURN-servern utöver vanliga UDP-uttag. TURN-servrar är användbara för att överföra RTMFP-nätverkstrafik genom brandväggar som annars blockerar UDP-paket.

Ytterligare information:

flash player 10.0 admin guide
Adobe Flash Player 10 Admin Guide webbplats.
mms Config Exempel
Nylig man i mitten sårbarhet [tyska]

Konfiguratet är ett grundläggande exempelfil som avaktiverar uppdateringskontroller, maskinvara och teckensnittuppräkning. (tack till Hubert för att du skickat in tipset).