19Jul
Adobe Flash jest ponownie atakowany, a kolejne "0 dni" - nowa luka w zabezpieczeniach jest wykorzystywana, zanim dostępna będzie nawet łatka. Oto, jak chronić się przed przyszłymi problemami.
Złośliwa strona internetowa - lub witryna internetowa ze złośliwą reklamą z sieci reklamowej innej firmy - może nadużyć jednego z tych błędów w celu złamania zabezpieczeń komputera.
Włącz Click-to-Play( lub całkowicie odinstaluj Flash)
Możesz teoretycznie odinstalować Flasha, aby uniknąć tych problemów. Jest coraz mniej potrzebna, a nawet najnowszy Flash HTML w najnowszym przeglądzie HTML.W najgorszym przypadku, gdy natkniesz się na jakąś stronę wideo wymagającą Flasha, zawsze możesz po prostu wyciągnąć smartfona lub tablet i korzystać z witryny mobilnej - są one zbudowane bez Flasha.
Ale czasami potrzebujesz Flasha i nie możemy polecić większości osób, aby go całkowicie odinstalować.Jeśli chcesz zainstalować Flasha - i prawdopodobnie, niestety, opcja "kliknij, aby odtworzyć" jest najlepszą dostępną opcją.Zapobiega to ładowaniu wszystkich treści Flash przez witryny. Podczas odwiedzania witryny wystarczy kliknąć ikonę symbolu zastępczego, aby załadować określony element Flash - taki jak wideo. Flash nie uruchomi się automatycznie, chroniąc Cię przed atakami "drive-by", w których zarazisz się po prostu odwiedzając stronę internetową.
Ale nie dodawaj do białej listy żadnych stron internetowych!
Nie powinieneś używać białej listy "kliknij, aby odtworzyć", która pozwala automatycznie ładować zawartość Flash na pewne zaufane strony. Oto dlaczego:
Ostatni atak został wykryty w reklamach w popularnej witrynie wideo Dailymotion. Jest to rodzaj stron, które ludzie dodawaliby do białej listy, aby nie potrzebowali dodatkowego kliknięcia za każdym razem, gdy chcieli obejrzeć film Dailymotion. Jednak dodanie tej witryny do białej listy umożliwiłoby załadowanie całej treści Flash, w tym również tych potencjalnie szkodliwych. Korzystanie z funkcji "kliknij, aby odtworzyć" i kliknięcie głównego odtwarzacza wideo w celu załadowania go uniemożliwiłoby ten atak - funkcja "kliknij, aby odtworzyć" pozwala tylko załadować określone elementy Flash na stronę, co zmniejsza zagrożenie.
Click-to-play nie jest panaceum, ponieważ niektóre reklamy są dostarczane w odtwarzaczach wideo. Tak, możesz potencjalnie wykorzystać tę lukę, używając luki o zerowym poziomie. Ale nie chodzi o unikanie każdego ryzyka - chodzi o zminimalizowanie ryzyka w jak największym stopniu.
Używaj Chrome, Chromium lub Opery dla Flash Sandbox Wtyczki przeglądarki
, takie jak Flash, nigdy nie były "piaskowane" ze względów bezpieczeństwa, co wiąże się z uruchamianiem ich w środowisku o niskim poziomie uprawnień, aby ataki z przerwaniem Flasha nie otrzymałydostęp do całego komputera.
Google nieco złagodziło ten problem dzięki systemowi wtyczek "PPAPI"( lub "Pepper API") używanemu w Google Chrome i przeglądaniu Chromium open-source, który stanowi podstawę dla Chrome. PPAPI zapewnia dodatkowe sandboxing, które może pomóc w ochronie przed lukami w zabezpieczeniach. Ale prawdziwym rozwiązaniem jest całkowite zastąpienie wtyczek.
W najnowszym biuletynie zabezpieczeń firmy Adobe napisano: "Zdajemy sobie sprawę z doniesień o tym, że luka ta jest aktywnie wykorzystywana na wolności za pośrednictwem ataków" drive-by-download "na systemy z przeglądarką Internet Explorer i Firefox w systemie Windows 8.1 i starszym." Chrome w oczywisty sposób nie jestwymienionych, co może być spowodowane tym, że system PPAPI zapewnia dodatkowe zabezpieczenia. Użytkownicy Chrome nie powinni mieć fałszywego poczucia bezpieczeństwa, ponieważ nie chroni to przed wszystkimi problemami - ale Chrome jest prawdopodobnie najbezpieczniejszą przeglądarką do używania Flasha.
Chrome zawiera wtyczkę Flash, ale można również pobrać PPAPIwtyczkę do Chromium lub Opery z witryny Adobe. Chromium stanowi podstawę zarówno Chrome, jak i Opery, więc te trzy przeglądarki powinny oferować takie same funkcje zabezpieczeń dla Flash.
Aktualizuj automatycznie Flash
Pamiętaj o aktualizacji wtyczki Flash. To nie ochroni cię przed 0-dniami - które z definicji nie mają wydanej łatki - ale jest to kluczowy element zabezpieczenia wtyczki Flash na Twoim komputerze. Kiedy te luki w zabezpieczeniach zostaną załatane, dostaniesz aktualizację.
Istnieje kilka sposobów, aby to zrobić.Jeśli korzystasz z Google Chrome, Google udostępnia wtyczkę Flashbox( PPAPI) Flash w Chrome.będzie aktualizowany automatycznie wraz z przeglądarką Chrome, dzięki czemu nie musisz nawet o tym myśleć.
Jeśli używasz przeglądarki Internet Explorer w systemie Windows 8 lub Windows 8.1, Microsoft dołącza wersję wtyczki Flash z IE.Otrzymasz aktualizacje Flash dla IE z Windows Update wraz z innymi aktualizacjami zabezpieczeń.
Jeśli używasz innej przeglądarki - Firefox, Opera lub Chromium w dowolnej wersji systemu Windows;lub nawet Internet Explorera w systemie Windows 7 lub wcześniejszym - musisz użyć wbudowanego programu aktualizującego Flash. Program Flash zaleca włączenie automatycznych aktualizacji podczas instalacji, ale należy sprawdzić, czy na komputerze są rzeczywiście włączone automatyczne aktualizacje.
W systemie Windows ta opcja znajduje się pod Flash Playerem w Panelu sterowania. Otwórz Panel sterowania i wyszukaj "Flash", aby znaleźć skrót, lub kliknij System &Kategoria bezpieczeństwa i przewiń w dół do dołu. Kliknij ikonę "Flash Player", kliknij kartę Zaawansowane i upewnij się, że włączone są automatyczne aktualizacje.
Użyj innego profilu przeglądarki lub przeglądarki dla Flash
Zamiast całkowicie odinstalować Flasha lub w zależności od kliknięcia, możesz użyć osobnego profilu przeglądarki, który ma włączony Flash i otworzyć go tylko wtedy, gdy potrzebujesz Flasha.
Na przykład, jeśli używasz przeglądarki Firefox przez większość czasu, możesz odinstalować samą Flasha i zainstalować Google Chrome. Uruchom Google Chrome( z wbudowanym odtwarzaczem Flash), gdy potrzebujesz używać treści Flash. Możesz też utworzyć osobny "profil"( konto użytkownika w Chrome) w samej przeglądarce i wyłączyć Flash tylko w profilu głównym, pozostawiając włączony Flash w profilu dodatkowym. To odizolowałoby Flasha w oddzielnym obszarze z dala od głównej przeglądarki. Wtyczki przeglądarki
są niebezpieczne - tak naprawdę wtyczki i sama architektura wtyczek nie zostały zaprojektowane z myślą o bezpieczeństwie. Java jest najgorsza, ale nawet Flash ma niekończący się strumień problemów. Dobrą wiadomością jest to, że jedyną wtyczką, której najprawdopodobniej potrzebujesz jest Flash, a sieć zależy od niej mniej z każdym dniem.
