Aplicar configurações globais de segurança e privacidade do Flash Player
- Categoria: Segurança
Os frequentadores do Ghacks sabem que é possível configurar o Adobe Reader a partir do gerenciador de configurações página no site da Macromedia. Os administradores de sistema e especialistas em segurança resolveram dois problemas com a disponibilidade online do gerenciador de configurações. Os invasores podem, por exemplo, falsificar certificados para fazer alterações nas configurações. Outro problema é que não é possível fazer alterações para todos os usuários de um sistema.
É um segredo bem guardado que o Adobe Flash Player pode ser configurado globalmente. Os administradores e usuários que desejam fazer isso precisam criar o arquivo mms.cfg. Este arquivo precisa ser armazenado nos seguintes diretórios para ser acessado pelo Flash Player:
- Windows:% Windir% System32 Macromed Flash
- Macintosh: / Library / Application Support / Macromedia
- Linux: / etc / adobe /
Os seguintes parâmetros são suportados pelo arquivo de configuração:
- AllowUserLocalTrust Permite evitar que os usuários designem quaisquer arquivos nos sistemas de arquivos locais como confiáveis.
- AssetCacheSize Permite especificar um limite rígido, em MB, na quantidade de armazenamento local que o Flash Player usa para o armazenamento de componentes Flash comuns.
- AutoUpdateDisable Permite impedir que o Flash Player verifique e instale automaticamente versões atualizadas.
- AutoUpdateInterval Permite que você especifique a freqüência de verificação de uma versão atualizada do Flash Player.
- AVHardwareDisable Permite impedir que arquivos SWF acessem webcams ou microfones.
- DisableDeviceFontEnumeration Permite evitar que informações sobre as fontes instaladas sejam exibidas.
- DisableNetworkAndFilesystemInHostApp Permite impedir o acesso à rede ou ao sistema de arquivos de qualquer tipo.
- DisableProductDownload Permite impedir que aplicativos de código nativo que são assinados digitalmente e fornecidos pela Adobe sejam baixados.
- DisableSockets Permite habilitar ou desabilitar o uso dos métodos Socket.connect () e XMLSocket.connect ().
- EnableSocketsTo Permite criar uma lista de permissões de servidores aos quais são permitidas conexões de soquete.
- EnforceLocalSecurityInActiveXHostApp Permite que você aplique regras de segurança locais para um aplicativo específico.
- FileDownloadDisable Permite impedir que a API ActionScript FileReference faça downloads de arquivos.
- FileUploadDisable Permite evitar que a API ActionScript FileReference execute uploads de arquivos.
- FullScreenDisable Permite desativar a exibição de arquivos SWF por meio de um plug-in de navegador no modo de tela inteira.
- LegacyDomainMatching Permite especificar se os arquivos SWF produzidos para Flash Player 6 e anterior podem executar uma operação que foi restrita em uma versão mais recente do Flash Player.
- LocalFileLegacyAction Permite que você especifique como o Flash Player determina se deve executar determinados arquivos SWF locais que foram produzidos originalmente para o Flash Player 7 e anteriores.
- LocalFileReadDisable Permite impedir que arquivos SWF locais tenham acesso de leitura a arquivos em discos rígidos locais.
- LocalStorageLimit Permite especificar um limite rígido para a quantidade de armazenamento local que o Flash Player usa (por domínio) para objetos compartilhados persistentes.
- OverrideGPUValidation Substitui a validação dos requisitos necessários para implementar a composição de GPU.
- ProductDisabled Cria uma lista de aplicativos ProductManager que os usuários não têm permissão para instalar ou iniciar.
- RTMFPP2PDisable Especifica como o construtor NetStream se conecta a um servidor quando um valor é especificado para peerID, o segundo parâmetro passado para o construtor.
- RTMFPTURNProxy Permite que o Flash Player faça conexões RTMFP por meio do servidor TURN especificado, além dos soquetes UDP normais.
- ThirdPartyStorage Permite especificar se os arquivos SWF de terceiros podem ler e gravar objetos compartilhados localmente persistentes.
A maioria das opções pode ser definida como 0 = falso ou 1 = verdadeiro. Um exemplo básico é o comando AVHardwareDisable = 1, que bloqueia o acesso do arquivo SWF a webcams e microfones. Um valor de 0 permite que o usuário defina a configuração no Gerenciador de configurações.
Parâmetros de privacidade:
AVHardwareDisable = [0,1]
DisableDeviceFontEnumeration = [0,1]
Define se os arquivos SWF podem obter a lista de fontes instaladas do sistema do computador. Definir como 1 significa que eles não podem fazer isso, enquanto 0 significa que as informações podem ser retornadas.
Parâmetros da interface do usuário:
FullScreenDisable = [0,1]
Define se um arquivo SWF pode ser exibido no modo de tela inteira. Um valor de 1 evita isso, enquanto 0 permite.
Opções de carregamento e armazenamento de dados:
LocalFileReadDisable = [0,1]
Um valor de 1 impede que os arquivos SWF locais tenham acesso de leitura aos arquivos no disco rígido local, o que significa que os arquivos SWF locais não podem ser executados. SWF remoto não consegue fazer upload ou download de arquivos.
FileDownloadDisable = [0,1]
Definir o parâmetro como 1 desativa o download de arquivos, enquanto 0 permite.
FileUploadDisable = [0,1]
O mesmo que FileDownloadDisable, com a diferença de que bloqueia ou permite o upload de arquivos.
LocalStorageLimit = [1,2,3,4,5,6]
Isso define o limite de armazenamento local que o Flash player pode alocar por domínio. (1 = sem armazenamento, 2 = 10 KB, 3 = 100 KB, 4 = 1 MB, 5 = 10 MB, 6 = sem limite]
ThirdPartyStorage = [0,1]
Se esse valor for definido como 1, os arquivos SWF de terceiros (aqueles que se originam de um domínio diferente do atual) podem ler e gravar objetos compartilhados localmente persistentes. Se esse valor for definido como 0, os arquivos SWF de terceiros não poderão ler ou gravar objetos compartilhados localmente persistentes.
AssetCacheSize = [0, número de Megabytes]
Este valor especifica um limite rígido, em MB, na quantidade de armazenamento local que o Flash Player usa para o armazenamento de componentes Flash comuns. Se esta opção não estiver incluída no arquivo mms.cfg, o Gerenciador de Configurações permite que o usuário especifique se deseja permitir o armazenamento do componente. No entanto, o usuário não pode especificar quanto espaço de armazenamento local usar. O limite padrão é 20 MB.
Opções de atualização:
AutoUpdateDisable = [0.1]
Se definido como 1, o Flash Player desativa a atualização automática. Isso evita que o Flash Player verifique periodicamente as versões atualizadas. Se definido como 1, os parâmetros a seguir são ignorados.
AutoUpdateInterval = [número de dias]
Define o intervalo no qual o Flash Player verifica se há novas versões. O valor padrão é 30 dias.
DisableProductDownload = [0,1]
Se este valor for definido como 0 (o padrão), o Flash Player pode instalar aplicativos de código nativo que são assinados digitalmente e fornecidos pela Adobe. A Adobe usa esse recurso para fornecer atualizações do Flash Player por meio do processo de instalação expressa iniciado pelo desenvolvedor e para fornecer a funcionalidade de compartilhamento de tela do Adobe Acrobat Connect. Se esse valor for definido como 1, esses recursos serão desativados.
ProductDisabled = nome do aplicativo
Esta opção tem efeito apenas quando DisableProductDownload tem um valor 0 ou não está presente no arquivo mms.cfg; ele cria uma lista de aplicativos ProductManager que os usuários não têm permissão para instalar ou iniciar.
Opções de segurança:
LegacyDomainMatching = [0,1]
Esta configuração controla se deve permitir que um arquivo SWF produzido para Flash Player 6 e anterior execute uma operação que foi restrita em uma versão mais recente do Flash Player.
LocalFileLegacyAction = [0,1]
Esta configuração controla como o Flash Player determina se deve executar determinados arquivos SWF locais que foram produzidos originalmente para o Flash Player 7 e anteriores.
AllowUserLocalTrust = [0,1]
Essa configuração permite evitar que os usuários designem quaisquer arquivos nos sistemas de arquivos locais como confiáveis (ou seja, colocando-os na caixa de proteção local confiável). Esta configuração se aplica a arquivos SWF publicados para qualquer versão do Flash.
EnforceLocalSecurityInActiveXHostApp = nome do arquivo executável
Por padrão, a segurança local é desabilitada sempre que o controle ActiveX está sendo executado em um aplicativo host que não seja do navegador. Em casos raros, quando isso causa um problema, você pode usar essa configuração para impor regras de segurança locais para o aplicativo especificado. Você pode impor a segurança local para vários aplicativos inserindo uma entrada EnforceLocalSecurityInActiveXHostApp separada para cada aplicativo.
DisableNetworkAndFilesystemInHostApp = nome do arquivo executável
Essa opção é semelhante a EnforceLocalSecurityInActiveXHostApp, mas se aplica a plug-ins e também ao controle ActiveX, e impõe controles de segurança mais rígidos. Quando um plug-in ou controle ActiveX está sendo executado em um aplicativo especificado, será como se o parâmetro HTML allowNetworking = 'none' tivesse sido especificado. Ou seja, nenhum tipo de acesso à rede ou ao sistema de arquivos será permitido, e o SWF em execução no Flash Player será executado sem a capacidade de carregar nenhuma mídia adicional ou se comunicar com nenhum servidor. Você pode reforçar a segurança local para vários aplicativos inserindo um
Opções de conexão de soquete
DisableSockets = [0,1]
Esta opção ativa ou desativa o uso de Socket.connect () e
Métodos XMLSocket.connect (). Se você não incluir esta opção no arquivo mms.cfg, ou se seu valor for definido como 0, as conexões de soquete são permitidas a qualquer servidor. Se este valor for definido como 1, nenhuma conexão de soquete será permitida. No entanto, se você deseja desabilitar algumas, mas não todas as conexões de soquete, defina este valor como 1 e use EnableSocketsTo para especificar um ou mais servidores para os quais as conexões de soquete podem ser feitas.
EnableSocketsto = [nome do host, endereço IP]
Esta opção é efetiva apenas quando DisableSockets tem um valor de 1; ele cria uma lista de permissões de servidores para os quais são permitidas conexões de soquete. Ao contrário da maioria das outras opções de mms.cfg, você pode usar essa opção quantas vezes for apropriado para seu ambiente. Observe que os servidores especificados são servidores de destino, aos quais são feitas conexões de soquete; eles não são servidores de origem, a partir dos quais os arquivos SWF de conexão são servidos.
Composição de GPU:
OverrideGPUValidation = [0, 1]
O recurso de composição de GPU é controlado pela versão do driver para placas de vídeo. Se uma combinação de placa e driver não corresponder aos requisitos necessários para implementar a composição, defina OverrideGPUValidation como 1 para substituir a validação dos requisitos do driver. Por exemplo, você pode querer a composição de GPU ativada durante um conjunto de testes específico, mesmo se o driver de vídeo na máquina de teste não atender aos requisitos de composição. Esta configuração substitui o gating da versão do driver, mas ainda verifica os requisitos de VRAM.
Opções RTMFP:
RTMFPP2PDisable = [0, 1]
Esta opção especifica como o construtor NetStream se conecta a um servidor quando um valor é especificado para peerID, o segundo parâmetro passado para o construtor. Se RTMFPP2PDisable tem um valor de 0 ou não está presente no arquivo mms.cfg, uma conexão ponto a ponto (P2P) pode ser usada. Se este valor for 1, qualquer valor especificado para peerID é ignorado e as conexões P2P são d
RTMFPTURNProxy = URL do servidor proxy TURN
Se essa opção estiver presente, o Flash Player tenta fazer conexões RTMFP por meio do servidor TURN especificado, além dos soquetes UDP normais. Os servidores TURN são úteis para transmitir o tráfego de rede RTMFP por meio de firewalls que, de outra forma, bloqueiam os pacotes UDP.
Informação adicional:
guia de administração do flash player 10.0
Site do Guia de administração do Adobe Flash Player 10.
Exemplo de configuração de mms
Vulnerabilidade recente do homem no meio [alemão]
O config é um arquivo de exemplo básico, que desativa verificações de atualização, hardware e enumeração de fontes. (obrigado ao Hubert pelo envio da dica).