Security issues with flash

Lytter med

Hvor kommer den information fra, hvem har sagt det??

We have proposed making an application for them in flash and that was the response we got from our contact. Our contact is not a programmer and couldnt come with details only that it was an issue for them and a problem for us. Im trying to find arguements for how we can guarantee the security of our application even if it must run in flash player 7.

Der er masser af sårbarheder i flash, se f.eks. her

http://search.securityfocus.com/swsearch?query=Flash&sbm=bid&submit=Search%21&metaname=alldoc&sort=swishrank

Samtidig betyder reengeneering af flash at du ofte kan udtrække oplysninger og strukture, der ikke burde afsløres

globus->som bufferzon nævner kan Flash altid decompiles, så hvis din app afhænger af 'hemmelig' information fra .swf'en er det et problem. Hvis man betragter en .swf som en almindelig form der kan lave POST og GET, så er man faktisk ikke så langt fra sandheden om hvordan de fleste folk bruger FLASH og databaser sammen. Altså, istedet for at sende username og pass fra en form til login.asp?user=me&pass=myPass, så er det bare flash der sender user og pass login.asp.

bufferzone-> Der er ikke nogen af disse fejl der kan udnyttes i særlig grad hvis appen er ordentligt designet (ingen plaintext-passwords i cookies...). Og i alle tilfælde er det fejl der skal udnyttes ved at en eller anden ligger en farlig .swf på sit website (hvilket MS jo nok ikke gør :-|). Under ingen omstændigheder en sikekrhedsrisiko for dem der har .swf'erne liggende.

Det jeg kan se kan være et problem er, hvis MS får rapporter om at besøgende ikke kan se MS's websites fordi folk har slået FLASH fra (fordi folk er bange for at flash er usikkert, eller bare synes det er pisse iriterende med FLASH-reklamer). Eller hvis MS tænker på at købe Macromedia, og først skal have prisen lidt ned.......

Sorry for the late return...took a while for them to get back to me. Turns out Microsoft is just being ultra safe. Its not even a question of security but rather usability. Just4fun hit the nail on the head with the "slået FLASH fra " comment. I think it will be awhile though before sparkle starts to threaten Macromedia. Mike Chambers is certainly confident in his relationship with MS in anycase. And to make a long story short, we got the job and so the link you sent me bufferzone will definitely be helpful only a little farther down the line. Thanks.