Piorunochron ochroni Flasha przed atakami cyberprzestępców?
26. Chaos Communications Congress to nie tylko obnażanie luk w zabezpieczeniach rozmaitych systemów. Zebrani tam hakerzy omawiają też metody zabezpieczania oprogramowania. Jednym z nich jest Felix Lindner z Recurity Labs, który przedstawił projekt, mający na celu zabezpieczenie Adobe Flasha przed atakami z zewnątrz.
Blitzableiter (niem. piorunochron) to otoczka do Flash Playera, która analizuje kod zawarty w plikach SWF przed ich uruchomieniem przez wtyczkę Adobe. W praktyce, w sytuacji gdy do tej pory kod Flash Playera pozostaje zamknięty, a nieustannie pojawiają się informacje o groźnych lukach w tym odtwarzaczu, takie rozwiązanie może zapewnić ochronę użytkownikom, bez konieczności czekania na interwencję korporacji.
Po otworzeniu pliku SWF, Blitzableiter sprawdza go pod względem poprawności, w razie potrzeby oczyszcza zawarty w nim kod ActionScriptu i kontroluje osadzone obiekty multimedialne, sprawdzając, czy są rzeczywiście tym, za co się podają. Dodatkowo „piorunochron” przejmuje kontrolę nad wywołaniami funkcyjnymi, służącymi np. do otwierania stron WWW, pilnując zasady pochodzenia z tego samego źródła (ang. same origin). Dzięki temu niemożliwe stają się nieautoryzowane przekierowania czy ataki XSRF.
Wstępne testy pokazały, że Blitzableiter spisuje się całkiem dobrze – zapewnił ochronę odtwarzacza Flash przed 20 normalnie działającymi exploitami. Wygenerował jednak też pewną liczbę fałszywych alarmów. Problemy sprawiają te pliki flashowe, które próbują ukrywać zawarty w nich kod. Tych raczej nieskutecznych praktyk dopuszczają się paranoiczne firmy software'owe oraz twórcy malware'u – dlatego „piorunochron” blokuje ich uruchamianie. Jednak duże serwisy korzystające z Flasha, w tym, jak informuje heise.de, YouTube i YouPorn, działają bez problemu.
Nie ma róży bez kolców, tak że i w tym wypadku ceną za bezpieczeństwo staje się większe obciążenie procesora i zużycie pamięci. Twórca Blitzableitera przyznaje, że na starszych maszynach za wiele pożytku z tego by nie było. Brakuje też obsługi nowej maszyny wirtualnej Flasha – AVM2.
Felix Linder na razie udostępnia kod źródłowy projektu napisany w C# i działający na .NET i Mono. Liczy, że w przyszłości jego mechanizm zabezpieczeń znajdzie się w innych aplikacjach – np. przeglądarkach internetowych czy serwerach proxy.
Z Blitzableiterem można się zapoznać na stronie blitzableiter.recurity.com/.
Źródło: heise.de
Polecamy
Reklama
Komentarze
Aby dodać komentarz, musisz podać swój nick, treść komentarza oraz poprawnie przepisać oba słowa z obrazka
(słowa muszą być rozdzielone spacją).
W treści komentarza można używać języka formatowania BBcode.
Popularne
Pobierałeś pirackie pliki? Uważaj! Kontrole antypirackie w domach użytkowników to codzienność
33
Pobieraczek.pl pozwie internautów, którzy nie chcą płacić abonamentu
1455
Debata w sprawie ACTA: internauci spodziewali się chyba czegoś innego
14
Wynalazca WWW przed sądem: walczy tam o wolny dostęp do webowych technologii dla każdego
8
PHP 5.3.9 nie pozwoli hakerom zawiesić serwera. Pozwoli za to przejąć nad nim kontrolę
28
Programowanie w środowisku Android – wprowadzenie do projektowania aplikacji dla urządzeń mobilnych
15
Internet w EU bez Facebooka i Google? Firmy nie mają wyboru: albo się dostosują, albo…
10
MSWiA zamówiło narzędzia do „złamania” Tora i podsłuchiwania internautów. Czy złamało przy tym prawo?
89
[Aktualizacja] Facebook zablokował Demotywatory.pl. W czym zawiniły?
36
FBI zamknęło Megaupload. Anonimowi dali się sprowokować. Teraz ich akcja uzasadni potrzebę SOPA?
17
Pobieraczek.pl pozwie internautów, którzy nie chcą płacić abonamentu
1455
Programowanie w środowisku Android – wprowadzenie do projektowania aplikacji dla urządzeń mobilnych
15
„Donald matole, twój rząd dopadną kibole” – hakerska elita przyłącza się do walki z ACTA
23
Klamka jeszcze nie zapadła. Minister prosi Donalda Tuska, by wstrzymał się z podpisywaniem ACTA
24
Społeczność
tobas ClickShop bardzo wolno działa!!!
Nie dajcie się nabrać na wygląd i...
blackbear @WebDev, widzę że muszę Ci rozjaśnić we łbie. Czytaj więc i nie pisz...
Jay Brak obsługi aplikacji x86/x64 ze zwykłych desktopów to kręcenie na siebie...
WebDev @slawek22
Tak jak ze wszystkim tak i z prawem własności można przesadzić...
Nie dla ACTA. Nie dla INDECT. Nie dla europejskiego superpaństwa policyjnego. "rejestruje dane statyczne tj. wygląd podpisu, jak i dynamiczne: czas...
slawek22 @WebDev:
Te korporacje i "twórcy" starej daty których tak bronisz nie...
darekp @eimi, a co za różnica między zdobytym pieniędzmi a nie? Spróbuj zdobyć...
- gardius: Dobra hurtownia sportowa (1)
- gardius: Tanie książki gdzie warto kupować? (1)
- Najdmen.pl: PROMOCJA, 500 DOMEN .EU ZA 1 PLN NETTO ! (1)
- VMLine: [Oferta] Serwery VPS Xen-HVM/OpenVZ z darmową administracją (2)
- Marek: Generowanie PDFa (2)
- Marek: problem z menu (2)
- Marek: Własne checkboxy w HTML,CSS (1)
Polecane książki
Praca
Czytaj Webhosting
Chcesz być na bieżąco z naszymi informacjami? Zapisz się na Newsletter.
Zarejestruj domenę
Sprawdź dostępność swojej domeny:
| .pl: | 0 zł | .com: | 19.90 zł | |
|---|---|---|---|---|
| .com.pl: | 0 zł | .eu: | 19.90 zł |








