Welke extrabeveiliging bij verouderde Flashplayer?

[Verwijderd]

Wat denken jullie dat ik het beste kan doen om een betere beveiliging te verkrijgen nu ik gebruik moet maken van een verouderde versie van Flashplayer. Ik heb al een post gemaakt op Adobe forums maar krijg daar geen respons hoe ik dit probleem moet verhelpen (http://forums.adobe.com/thread/1041727). Als ik de Flashplayer update is er natuurlijk niets aan de hand, maar ik kan dan ook niet meer normaal naar Flash filmpjes kijken dus dat heeft geen nut dan kan ik net zo goed Flash volledig uitschakelen. Maar dat wil ik dus niet anders zou ik nu geen verouderde versie gebruiken . Een belangrijke vereiste is dat de webbrowser wel goed functioneel blijft en je niet constant zaken moet excluden van bepaalde beveiligingen.

[ Voor 10% gewijzigd door Verwijderd op 16-08-2012 17:29 ]

[Rolfie]

Welke versie gebruik je nu precies?

Ik heb slechte ervaringen met 11.3, maar 10.3 doet het gewoon goed, en is nog volledig ondersteund door Adobe,

[Boudewijn]

ondersteund maar wel pwnable. Ik zou het iig niet als admin draaien.
Deze week was er net een grote update voor een nogal kwetsbare flashplayerbug, alle versies van flashplayer behalve de recentste zijn vatbaar voor remote code execution. Dat is nogal nasty.

Zie bijv ook:
http://www.waarschuwingsd...ash+player+verholpen.html
of:
https://www.ncsc.nl/diens...ash+Player+verholpen.html

[ Voor 10% gewijzigd door Boudewijn op 17-08-2012 14:46 ]

[xahmol]

YouTube in HTML5 modus gebruiken? Heb je daar iig geen Flash meer voor nodig.
YouTube: YouTube - Broadcast Yourself.

Block Flash zelf standaard (te buggy), komt echt hoogstzelden voor dat ik Flash toch nog laat draaien.

[Verwijderd]

@Boudewijn daarom wil ik extra beveiliging inbouwen. Ik zat te denken aan bijvoorbeeld een sandbox van sandboxie als die niet een vertragende werking heeft.

Ik heb toch maar even weer de nieuwste versie van Flash geïnstalleerd en Firefox gestart in veilige modus met alle add-ons uitgeschakeld maar helaas blijft het probleem van stotteren bestaan . Anders had ik gewoon maar wat add-ons moeten verwijderen maar daar zit het probleem dus blijkbaar niet in.

@Rolfie
Het is 11.3.102.63 dat is in vergelijking met jouw versie een nieuwe . Dat is de laatste versie die bij mij goed werkt onder Firefox met al de add-ons etc. Maar zoals ik hierboven heb uitgeprobeerd zit het probleem niet in de add-ons.

@xahmol
Thanks ik wist niet dat het zo makkelijk was om dat aan te zetten. Ik ga het gewoon eens bekijken.

[ Voor 77% gewijzigd door Verwijderd op 18-08-2012 02:38 ]

[jan99999]

Chromium web browser heeft iets van sandbox ingebouwd, zoek daar maar op.

[Boudewijn]

Ja maar ook Chrome heeft afgelopen week nav die kwetsbaarheid een nieuwe versie gereleased. In een sandbox kun je ook dataleken krijgen .

Ik zou het echt gewoon niet doen dus.

[Verwijderd]

Ik heb nog een paar browsers getest. Safari zelfde probleem, Chromium zelfde probleem. Google Chrome ga ik niet testen want heb weinig trek in Google tracking. Ik dacht dat IE9 zonder problemen werkte maar blijkbaar had ik daar ook nog de oude versie van Flash staan. Nu maar eens de nieuwe geïnstalleerd en IE9 samen met de nieuwste Flash lijkt nog het beste te werken van de geteste browsers . Alleen ben erg gehecht aan Firefox dus het schiet nog steeds niet echt op.

HTML5 bij YouTube gebruiken met Firefox zie ik eigenlijk niet meer als alternatief want een scala aan filmpjes krijg ik de melding dat je er Flash voor nodig hebt.

[ Voor 6% gewijzigd door Verwijderd op 18-08-2012 15:32 ]

[Koenvh]

http://alternativeto.net/software/flash-player/

Kijk eens of er wat tussen zit..

[Bahmi]

Ik heb hetzelfde probleem, met de nieuwste flashplayer is ongeveer elk youtube filmpje op mijn beide computers niet meer op >=720p te bekijken.

Ik heb nu in chrome de standaard instelling voor plugins op "Click to play", dus voordat hij flash start moet ik eerst toestemming geven door op de regio te klikken waar hij moet draaien, misschien dat dat een oplossing voor je is. Natuurlijk kun je hem op "always allow" zetten op sites zoals youtube.

https://support.google.co...swer=142064&p=cpn_plugins (bij "Block Plugins")

[ Voor 9% gewijzigd door Bahmi op 18-08-2012 15:44 ]

[Baserk]

Als je genoodzaakt bent om een oude Flash versie in bv Firefox te gebruiken, zou ik toch echt een keer Sandboxie installeren en daarin de filmpjes bekijken.

'In een sandbox kun je ook datalekken krijgen' is al opgemerkt en dat klopt wel.
Net zoals dat ook geldt voor vele andere programmas, zelfs een VM is niet onkwetsbaar. Maar dat is nog geen reden om dan maar nooit een VM te draaien.
Aangezien SBIE een prima track record heeft als het gaat om het dichten van lekken, zou ik het toch adviseren.
SBIE biedt ook de optie om progs als limited/standard user te draaien dus maak daar dan ook meteen gebruik van.

[Boudewijn]

Baserk schreef op zaterdag 18 augustus 2012 @ 17:17:
Als je genoodzaakt bent om een oude Flash versie in bv Firefox te gebruiken, zou ik toch echt een keer Sandboxie installeren en daarin de filmpjes bekijken.

'In een sandbox kun je ook datalekken krijgen' is al opgemerkt en dat klopt wel.
Net zoals dat ook geldt voor vele andere programmas, zelfs een VM is niet onkwetsbaar. Maar dat is nog geen reden om dan maar nooit een VM te draaien.
Aangezien SBIE een prima track record heeft als het gaat om het dichten van lekken, zou ik het toch adviseren.
SBIE biedt ook de optie om progs als limited/standard user te draaien dus maak daar dan ook meteen gebruik van.

True maar de data in je sandbox (cookies anyone?) zijn dan wel meteen verkrijgbaar bij remote code uitvoering, los van of de kwaadwillende uit de sandbox breekt.

[Baserk]

Als je je browser schoon start in de sandbox, zijn er hoogstens sessie-cookies te lezen. Welke je accepteert en niet, hangt van jezelf af.
TS kan de oude Flash versie (en bijv. ook Firefox+plugincontainer) wellicht nog met EMET vaster nagelen, kwaad kan het iig niet.
Heb je al eens geprobeerd om met de recente Flash versie, in Firefox about:config, 'browser.sessionstore.interval' omhoog te zetten naar 100000?

[ Voor 21% gewijzigd door Baserk op 19-08-2012 01:43 ]

[Verwijderd]

Baserk schreef op zondag 19 augustus 2012 @ 01:32:
Als je je browser schoon start in de sandbox, zijn er hoogstens sessie-cookies te lezen. Welke je accepteert en niet, hangt van jezelf af.
TS kan de oude Flash versie (en bijv. ook Firefox+plugincontainer) wellicht nog met EMET vaster nagelen, kwaad kan het iig niet.
Heb je al eens geprobeerd om met de recente Flash versie, in Firefox about:config, 'browser.sessionstore.interval' omhoog te zetten naar 100000?

Nee, dat had ik nog niet geprobeerd. Na deze wijziging werkt Youtube beter zo lijkt het. Ik dacht dat het geheel verholpen was maar helaas juichte ik te vroeg. Als ik een andere website laad terwijl er een YouTube filmpje speelt stottert het geluid wel even, iets waar ik bij de vorige versie geen last van had.

[ Voor 15% gewijzigd door Verwijderd op 19-08-2012 02:08 ]

[Boudewijn]

Baserk schreef op zondag 19 augustus 2012 @ 01:32:
Als je je browser schoon start in de sandbox, zijn er hoogstens sessie-cookies te lezen. Welke je accepteert en niet, hangt van jezelf af.

Inderdaad . Ik ging ervanuit dat die bleven hangen. Qua sandbox: Tsja als de sandbox echt 100% goed is zit je vrij veilig.

[Verwijderd]

Misschien moet ik toch maar terug naar 10.3 want ik lees op Adobe forums (door een staff user) dat er voor deze versie beveiligingsupdates zijn omdat deze wordt gebruikt door enterprise gebruikers.

For users that absolutely need stability over new features, I'd highly recommend moving back to the latest version of Flash Player 10.3 (currently 10.3.183.20).

We maintain this version for Enterprise customers, keep it up-to-date with the latest security patches, but keep it insulated from the risk associated with new feature development.

http://helpx.adobe.com/fl...lash-player-versions.html
bron: http://forums.adobe.com/message/4551191#4551191