Weblabor

Indexet mindig kétkedve olvass, mert közelebb van a bulvárhoz, mint a hihető forráshoz. A Computer World cikk is ködös, de ők linkelik az eredeti Foreground Security cikket, amiben a hiba valós működése le van írva. A hiba két tényezőből áll:

Az első az, hogy a Flash (és Silverlight és JavaScript stb.) engedélyezi az azonos domainen lévő hozzáférést. Tehát ha feltöltök egy Flash fájlt egy oldalra, akkor az már azon a domainen lesz, ahová feltöltöttem, tehát hozzáférhet ugyanazon a domainen lévő adatokhoz. A felhasználó számítógépéhez már bajosan, mert az nem ugyanaz a domain, az index cikk ebben a pontban elég rendesen ferdít.

A második pedig az, hogy a böngészők akkor is Flashként futtatják a fájlt, ha nem az a kiterjesztése. Ez inkább csak egy feltételezés, egyelőre Linuxon próbáltam átnevezni egy Flash fájlt, megnyitni FireFoxban, de csak kiírta az elérési utat, semmi tartalmat nem mutatott. Más operációs rendszeren és/vagy böngészőben ez másként működhet.

De tegyük fel, hogy sikeresen feljut egy ilyen Flash bármelyik domainre és le is futtatja egy nagyobb számú közönség. A Flash még mindig nem képes egyedül fájlok létrehozására/törlésére, ahhoz szüksége van valamilyen szerver oldali script meghívására, ha ilyenre viszont képes, akkor arra már más is képes volt korábban. Keylogging? Ezt nem tudom egyelőre elképzelni, mert végig aktívnak kell lennie a magának a Flashnek, miközben gépelek. Ha pedig kommunikálni akar egy idegen domainen lévő oldallal, elküldeni neki az adatokat, akkor felugrik egy ablak erre figyelmeztetve. Szerintem pánikolni nem kell, érdemes követni hová fejlődik ez a rés, de erős jelszavak, megfelelően korlátozott hozzáférési jogok továbbra is védenek.

http://www.foregroundsecurity.com/MyBlog/flash-origin-policy-issues.html