Security manager

[Roenes]

Hey all,

Hier eens een vraag van mijn kant. Ik heb nu een klein swfje gemaakt dat een php scriptje aanroept. Deze draait op mijn eigen pc en ik roep het scriptje in de sendAndLoad aan met http://localhost/script.php.

Allemaal leuk en aardig, ik krijg nu die wellicht bekende melding van flash dat een swfje internet wil bereiken. Als je op OK drukt gebeurt er niets en als je op Settings drukt krijg je deze pagina (http://www.macromedia.com/support/documentation/en/flashplayer/help/settings_manager04a.html). Nou heb ik al het een en ander gelezen en het komt erop neer dat ik op die pagina moet aangeven welke mappen internet mogen oproepen. Ik kan daar gewoon c:\ definieren en dan ben ik van het hele probleem af.

Alleen nou vind ik het vreemd dat ik dit op de site van MacroMedia moet aangeven. Doen zij iets met die gegevens? Is het gewoon veilig om dat daar aan te geven? Of is er een andere manier?

Ik heb van alles gelezen hierover maar krijg niet echt een duidelijk beeld. Iemand hier ervaring mee? :)

even voor de duidelijkheid: het hele verhaal gaat dus over FlashPlayer 8 :)

[TheDutch]

De settings worden in jouw Flash Player opgeslagen, dus Macromedia doet er verder niets mee. De enige rede dat de panels op de site van Macromedia staan is omdat het te groot(63.2kb) is om in je Flash Player te stoppen. De Flash Player moet snel te installeren en te initializeren zijn, iets wat met een ingebouwde Settings Manager niet echt gaat lukken :).

Wat ik erg interessant vindt, is dat je de Settings Manager kunt downloaden en kunt decompilen. Op die manier krijg je inzage in ActionScript code om de settings runtime aan te passen, wat op zijn beurt weer een veiligheidsrisico met zich mee kan brengen. Heb nog niet alles kunnen bekijken, maar het ziet er interessant uit.

[Roenes]

Dus ongeacht welke map(pen) ik aangeef in die manager, Macromedia weet dat niet eens omdat het lokaal wordt opgeslagen? :)

[TheDutch]

Ik begin nu sterk aan mijn eigen verhaal te twijfelen ;).
Wanneer ik de settings verander in Firefox, zijn de ook veranderd in IE. Dit betekend dat het toch niet opgeslagen lijkt te worden in de Flash Player.

Moet me er meer in gaan verdiepen wil ik een definitiever antwoord kunnen geven :).

[TheDutch]

Dat die twee browsers dezelfde settings hebben kan ook weer te maken hebben met het Shared Object dat gebruikt wordt om de settings in op te slaan. Op die manier kan het dus wel lokaal zijn en wordt er niets naar Macromedia verzonden :).

[TheDutch]

Na wat meer research ben ik erachter gekomen dat de settings inderdaad als Shared Object op je PC worden opgeslagen. Ze worden opgeslagen onder localPath "/support/flashplayer/sys" en zijn dus alleen maar via dat path toegankelijk.

Dus om de settings uit te lezen moet je deze code gebruiken:

path = "/support/flashplayer/sys";
playerSO = SharedObject.getLocal("settings", path);

Vervolgens zet je de SWF onder www.domain.com/support/flashplayer/sys/ en je heb toegang tot de settings. Wanneer je een ander path gebruikt of je SWF ergens anders neerzet heb je geen toegang.

Conclusie Macromedia doet niets met jouw settings, wat ik aan de hand van de code kan bevestigen. De Settings Manager maakt gebruik van een Shared Object die is opgeslagen op jouw PC. Normaal is het niet toegankelijk maar via de stappen die hierboven beschreven staan wel.

Ik hoop dat dit je vraag beantwoord :).

ps. Funny om dit te zien in de code: trace ("brad is the winner! <<<<<<<<<<<<<<<<<<<<");

[Roenes]

TheDutch, dank je voor je research en antwoorden :)

Ben ik erg mee geholpen! :)