Appliquer les paramètres de sécurité et de confidentialité globaux de Flash Player

Essayez Notre Instrument Pour Éliminer Les Problèmes

Les habitués de Ghacks savent qu'il est possible de configurer Adobe Reader à partir du gestionnaire de paramètres page sur le site Web de Macromedia. Les administrateurs système et les experts en sécurité ont résolu deux problèmes liés à la disponibilité en ligne du gestionnaire de paramètres. Les attaquants peuvent par exemple faux certificats pour apporter des modifications aux paramètres. Un autre problème est qu'il n'est pas possible d'apporter des modifications pour tous les utilisateurs d'un système.

C'est un secret bien gardé qu'Adobe Flash Player peut être configuré globalement. Les administrateurs et les utilisateurs qui souhaitent le faire doivent créer le fichier mms.cfg. Ce fichier doit être stocké dans les répertoires suivants pour être accessible par Flash Player:

  • Windows:% Windir% System32 Macromed Flash
  • Macintosh: / Bibliothèque / Application Support / Macromedia
  • Linux: / etc / adobe /

Les paramètres suivants sont pris en charge par le fichier de configuration:

  • AllowUserLocalTrust Vous permet d'empêcher les utilisateurs de désigner des fichiers sur les systèmes de fichiers locaux comme approuvés.
  • AssetCacheSize Permet de spécifier une limite stricte, en Mo, sur la quantité de stockage local que Flash Player utilise pour le stockage des composants Flash courants.
  • AutoUpdateDisable Vous permet d'empêcher Flash Player de rechercher et d'installer automatiquement les versions mises à jour.
  • AutoUpdateInterval Permet de spécifier la fréquence à laquelle rechercher une version mise à jour de Flash Player.
  • AVHardwareDisable Vous permet d'empêcher les fichiers SWF d'accéder aux webcams ou aux microphones.
  • DisableDeviceFontEnumeration Vous permet d'empêcher l'affichage des informations sur les polices installées.
  • DisableNetworkAndFilesystemInHostApp Vous permet d'empêcher tout accès au réseau ou au système de fichiers.
  • Désactiver le produit Vous permet d'empêcher le téléchargement des applications de code natif signées numériquement et fournies par Adobe.
  • Désactiver les sockets Permet d'activer ou de désactiver l'utilisation des méthodes Socket.connect () et XMLSocket.connect ().
  • EnableSocketsTo Permet de créer une liste blanche de serveurs auxquels les connexions de socket sont autorisées.
  • EnforceLocalSecurityInActiveXHostApp Vous permet d'appliquer des règles de sécurité locales pour une application spécifiée.
  • FichierDownloadDisable Permet d'empêcher l'API ActionScript FileReference d'effectuer des téléchargements de fichiers.
  • FileUploadDisable Vous permet d'empêcher l'API ActionScript FileReference d'effectuer des téléchargements de fichiers.
  • Plein écranDésactiver Permet de désactiver l'affichage des fichiers SWF lus via un plug-in de navigateur en mode plein écran.
  • LegacyDomainMatching Permet de spécifier si les fichiers SWF produits pour Flash Player 6 et versions antérieures peuvent exécuter une opération qui a été restreinte dans une version plus récente de Flash Player.
  • LocalFileLegacyAction Permet de spécifier comment Flash Player détermine s'il faut exécuter certains fichiers SWF locaux qui ont été initialement produits pour Flash Player 7 et versions antérieures.
  • LocalFileReadDisable Vous permet d'empêcher les fichiers SWF locaux d'avoir un accès en lecture aux fichiers sur les disques durs locaux.
  • LocalStorageLimit Vous permet de spécifier une limite stricte de la quantité de stockage local que Flash Player utilise (par domaine) pour les objets partagés persistants.
  • OverrideGPUValidation Remplace la validation des exigences nécessaires pour implémenter la composition GPU.
  • ProduitDisabled Crée une liste d'applications ProductManager que les utilisateurs ne sont pas autorisés à installer ou à lancer.
  • RTMFPP2PDésactiver Spécifie la manière dont le constructeur NetStream se connecte à un serveur lorsqu'une valeur est spécifiée pour peerID, le deuxième paramètre transmis au constructeur.
  • RTMFPTURNProxy Permet à Flash Player d'établir des connexions RTMFP via le serveur TURN spécifié en plus des sockets UDP normaux.
  • ThirdPartyStorage Permet de spécifier si les fichiers SWF tiers peuvent lire et écrire des objets partagés persistants localement.

La plupart des options peuvent être définies sur 0 = faux ou 1 = vrai. Un exemple de base est la commande AVHardwareDisable = 1, qui bloque l'accès aux fichiers SWF aux webcams et aux microphones. Une valeur de 0 permet à l'utilisateur de configurer le paramètre dans le gestionnaire de paramètres.

Paramètres de confidentialité:

AVHardwareDisable = [0,1]
DisableDeviceFontEnumeration = [0,1]

Définit si les fichiers SWF peuvent extraire la liste des polices installées du système informatique. Le mettre à 1 signifie qu'ils ne peuvent pas faire cela, tandis que 0 signifie que les informations peuvent être retournées.

Paramètres de l'interface utilisateur:

FullScreenDisable = [0,1]

Définit si un fichier SWF peut être affiché en mode plein écran. Une valeur de 1 empêche cela, tandis que 0 le permet.

Options de chargement et de stockage des données:

LocalFileReadDisable = [0,1]

Une valeur de 1 empêche les fichiers SWF locaux d'avoir un accès en lecture aux fichiers sur le disque dur local, ce qui signifie que les fichiers SWF locaux ne peuvent pas s'exécuter. Le SWF distant ne peut pas charger ou télécharger des fichiers.

FileDownloadDisable = [0,1]

La définition du paramètre sur 1 désactive les téléchargements de fichiers, tandis que 0 l'autorise.

FileUploadDisable = [0,1]

Identique à FileDownloadDisable, à la différence qu'il bloque ou autorise les téléchargements de fichiers.

LocalStorageLimit = [1,2,3,4,5,6]

Cela définit la limite de stockage local que le lecteur Flash peut allouer par domaine. (1 = pas de stockage, 2 = 10 Ko, 3 = 100 Ko, 4 = 1 Mo, 5 = 10 Mo, 6 = pas de limite]

ThirdPartyStorage = [0,1]

Si cette valeur est définie sur 1, les fichiers SWF tiers (ceux qui proviennent d'un domaine différent de celui actuel) peuvent lire et écrire des objets partagés persistants localement. Si cette valeur est définie sur 0, les fichiers SWF tiers ne peuvent ni lire ni écrire d'objets partagés persistants localement.

AssetCacheSize = [0, nombre de mégaoctets]

Cette valeur spécifie une limite stricte, en Mo, de la quantité de stockage local que Flash Player utilise pour le stockage des composants Flash courants. Si cette option n'est pas incluse dans le fichier mms.cfg, le gestionnaire de paramètres permet à l'utilisateur de spécifier s'il doit autoriser le stockage des composants. Cependant, l'utilisateur ne peut pas spécifier la quantité d'espace de stockage local à utiliser. La limite par défaut est de 20 Mo.

Options de mise à jour:

AutoUpdateDisable = [0,1]

S'il est défini sur 1, Flash Player désactive la mise à jour automatique. Cela empêche Flash Player de vérifier périodiquement les versions mises à jour. S'il est défini sur 1, les paramètres suivants sont ignorés.

AutoUpdateInterval = [nombre de jours]

Définit l'intervalle dans lequel Flash Player recherche les nouvelles versions. La valeur par défaut est de 30 jours.

DisableProductDownload = [0,1]

Si cette valeur est définie sur 0 (valeur par défaut), Flash Player peut installer des applications de code natif signées numériquement et fournies par Adobe. Adobe utilise cette fonctionnalité pour fournir des mises à jour de Flash Player via le processus d'installation rapide lancé par les développeurs et pour fournir la fonctionnalité de partage d'écran d'Adobe Acrobat Connect. Si cette valeur est définie sur 1, ces fonctionnalités sont désactivées.

ProductDisabled = nom de l'application

Cette option n'est efficace que lorsque DisableProductDownload a une valeur de 0 ou n'est pas présent dans le fichier mms.cfg; il crée une liste d'applications ProductManager que les utilisateurs ne sont pas autorisés à installer ou à lancer.

Options de sécurité:

LegacyDomainMatching = [0,1]

Ce paramètre détermine s'il faut autoriser un fichier SWF produit pour Flash Player 6 et versions antérieures à exécuter une opération qui a été restreinte dans une version plus récente de Flash Player.

LocalFileLegacyAction = [0,1]

Ce paramètre contrôle la manière dont Flash Player détermine s'il faut exécuter certains fichiers SWF locaux qui ont été initialement produits pour Flash Player 7 et versions antérieures.

AllowUserLocalTrust = [0,1]

Ce paramètre vous permet d'empêcher les utilisateurs de désigner des fichiers sur les systèmes de fichiers locaux comme approuvés (c'est-à-dire de les placer dans le bac à sable local approuvé). Ce paramètre s'applique aux fichiers SWF publiés pour n'importe quelle version de Flash.

EnforceLocalSecurityInActiveXHostApp = nom de fichier exécutable

Par défaut, la sécurité locale est désactivée chaque fois que le contrôle ActiveX s'exécute dans une application hôte non-navigateur. Dans de rares cas, lorsque cela pose un problème, vous pouvez utiliser ce paramètre pour appliquer des règles de sécurité locales pour l'application spécifiée. Vous pouvez appliquer la sécurité locale pour plusieurs applications en entrant une entrée EnforceLocalSecurityInActiveXHostApp distincte pour chaque application.

DisableNetworkAndFilesystemInHostApp = nom de fichier exécutable

Cette option est similaire à EnforceLocalSecurityInActiveXHostApp, mais s'applique aux plug-ins ainsi qu'au contrôle ActiveX et impose des contrôles de sécurité plus stricts. Lorsqu'un plug-in ou un contrôle ActiveX s'exécute dans une application spécifiée, ce sera comme si le paramètre HTML allowNetworking = 'none' avait été spécifié. Autrement dit, aucun accès au réseau ou au système de fichiers de quelque nature que ce soit ne sera autorisé, et le SWF exécuté dans Flash Player fonctionnera sans la possibilité de charger un support supplémentaire ou de communiquer avec des serveurs. Vous pouvez appliquer la sécurité locale pour plusieurs applications en entrant un

Options de connexion de socket

DisableSockets = [0,1]

Cette option active ou désactive l'utilisation de Socket.connect () et
Méthodes XMLSocket.connect (). Si vous n'incluez pas cette option dans le fichier mms.cfg, ou si sa valeur est définie sur 0, les connexions socket sont autorisées vers n'importe quel serveur. Si cette valeur est définie sur 1, aucune connexion socket n'est autorisée. Toutefois, si vous souhaitez désactiver certaines connexions de socket, mais pas toutes, définissez cette valeur sur 1, puis utilisez EnableSocketsTo pour spécifier un ou plusieurs serveurs auxquels les connexions de socket peuvent être établies.

EnableSocketsto = [nom d'hôte, adresse IP]

Cette option n'est efficace que lorsque DisableSockets a une valeur de 1; il crée une liste blanche de serveurs auxquels les connexions socket sont autorisées. Contrairement à la plupart des autres options mms.cfg, vous pouvez utiliser cette option autant de fois que cela convient à votre environnement. Notez que les serveurs spécifiés sont des serveurs cibles, auxquels des connexions de socket sont établies; ce ne sont pas des serveurs d'origine, à partir desquels les fichiers SWF de connexion sont servis.

Composition GPU:

OverrideGPUValidation = [0, 1]

La fonction de composition GPU est limitée par la version du pilote pour les cartes vidéo. Si une combinaison de carte et de pilote ne correspond pas aux exigences requises pour implémenter la composition, définissez OverrideGPUValidation sur 1 pour remplacer la validation des exigences du pilote. Par exemple, vous pouvez souhaiter que la composition GPU soit activée pendant une suite de tests spécifique, même si le pilote vidéo de la machine de test ne répond pas aux exigences de composition. Ce paramètre remplace le blocage de version du pilote, mais vérifie toujours les exigences VRAM.

Options RTMFP:

RTMFPP2PDisable = [0, 1]

Cette option spécifie comment le constructeur NetStream se connecte à un serveur lorsqu'une valeur est spécifiée pour peerID, le deuxième paramètre passé au constructeur. Si RTMFPP2PDisable a une valeur de 0 ou n'est pas présent dans le fichier mms.cfg, une connexion peer-to-peer (P2P) peut être utilisée. Si cette valeur est 1, toute valeur spécifiée pour peerID est ignorée et les connexions P2P sont d

RTMFPTURNProxy = URL du serveur proxy TURN

Si cette option est présente, Flash Player tente d'établir des connexions RTMFP via le serveur TURN spécifié en plus des sockets UDP normaux. Les serveurs TURN sont utiles pour acheminer le trafic réseau RTMFP à travers des pare-feu qui bloquent autrement les paquets UDP.

Information additionnelle:

guide d'administration de flash player 10.0
Site Web du guide d'administration d'Adobe Flash Player 10.
Exemple de configuration mms
Homme récent au milieu de la vulnérabilité [allemand]

La configuration est un fichier d'exemple de base, qui désactive les vérifications de mise à jour, le matériel et l'énumération des polices. (merci à Hubert d'avoir envoyé le pourboire).