Firefox Flash-Plug-In

Firefox absichern - Flash in der Sandbox

Freitag, 23.03.2012 | 09:59 von David Wolski
Die neue Beta-Version von Adobe Flash für Firefox bietet ein neues Sicherheitskonzept und läuft in einer isolierten Sandbox, die Sie bereits jetzt nutzen können.
Vergrößern Die neue Beta-Version von Adobe Flash für Firefox bietet ein neues Sicherheitskonzept und läuft in einer isolierten Sandbox, die Sie bereits jetzt nutzen können.
Flash öffnet immer wieder gefährliche Sicherheitslücken im Browser. PC-WELT zeigt, wie Sie Adobe Flash aber trotzdem sicher vor Angreifern im Browser nutzen.
Sicherheitslücken im Flash-Plug-In sind für Angreifer ein lohnenswertes Ziel. Nicht etwa, weil es in dem Browser-Plug-In deutlich mehr Lücken gäbe als in den Web-Browsern selbst. Aber allein die enorme Verbreitung von Flash garantiert, dass genügend anfällige Flash-Versionen in Gebrauch sind, die nie aktualisiert wurden. Der dänische Sicherheitsdienstleister Secunia schätzt, dass weltweit 96 Prozent aller PCs mit Microsoft Windows eine Flash-Version installiert haben. Da Updates nicht über Windows Update erfolgen, sondern über ein eigenes Update-Programm, bleiben vielerorts verwundbare Versionen installiert. Ein Grund liegt laut Secunia darin, dass Anwender mit einem Dutzend oder mehr Update-Mechanismen auf einem PC schlicht überfordert sind und viele Hinweise erst mal weg klicken und wichtige Aktualisierungen aufschieben.
 
Flash: Neues Sicherheitskonzept gefragt
 
Es ist deshalb Zeit für Adobe, nach der letzten Runde von Sicherheitslücken das Sicherheitsmodell von Flash zu überarbeiten, um die Angriffsfläche zu verkleinern. Das Vorbild ist hier der Adobe Reader, der wie Flash in der Vergangenheit häufiger durch Bugs und Sicherheitslücken Angriffe auf den PC möglich machte. Um das Problem in den Griff zu bekommen, setzte Adobe den Reader seit Version 10 (Adobe Reader X) komplett unter Windows in eine Sandbox und schirmt das Programm vom Betriebssystem ab. Ein Programm in der Sandbox kann die Windows-API (Application Programming Interface) nicht mehr direkt nutzen und darf auf keine Ressourcen außerhalb des eigenen Prozess zugreifen. Ein Zugriff auf Dateien auf der Festplatte ist damit beispielsweise nicht mehr möglich.  Da sich dieses vergleichsweise aufwändige Sicherheitsmodell bereits beim Adobe Reader bewährte, darf auch Flash ab Version 11.2 nur mehr in seiner eigenen Sandbox spielen.

Sicher in abgeschirmte Prozesse

Ganz neu ist das Konzept auch hier nicht: So bietet der Browser Google Chrome seine eigene Flash-Version, die bereits in einer Sandbox läuft. Chrome bietet eine Sandbox-Umgebung bereits seit Markteinführung des Browser, um hier den HTML-Renderer und die Javascript-Engine in eigene Prozesse einzusperren. 2010 arbeitete Google eng mit Adobe zusammen, um das integrierte Flash-Plug-in von Chrome ebenfalls abzuschirmen. Seit der Version 10 von Chrome führt der Browser Flash in einer Sandbox aus. Dieses Konzept behebt zwar keine Schwachstellen in Flash selbst, es macht Hackern das Ausnutzen aber deutlich schwieriger, da ein Angreifer auch die Sandbox überwinden muss, um den eingeschleusten Code auch tatsächlich auf dem Zielsystem auszuführen. Zu einem erfolgreichen Angriff auf eine Sandbox gehören deshalb mehrere Sicherheitslücken, wie auch der letzte erfolgreiche Hack für Chrome im Rahmen des Wettbewerbs Pwn2own zeigte. Der Aufwand ist für Angreifer damit deutlich höher, da auch funktionierende Exploits für das Betriebssystem nötig sind.

Alte Flash-Version entfernen: Bevor Sie die neue
Beta-Version von Adobe Flash installieren können, müssen Sie erst
die vorhandene Flash-Version de-installieren. Das Plug-In für
Firefox können Sie über die Systemsteuerung von Windows entfernen
und dabei den Eintrag „Adobe Flash Player 11 ActiveX“ ignorieren,
da dies die Version für den Internet Explorer ist
Vergrößern Alte Flash-Version entfernen: Bevor Sie die neue Beta-Version von Adobe Flash installieren können, müssen Sie erst die vorhandene Flash-Version de-installieren. Das Plug-In für Firefox können Sie über die Systemsteuerung von Windows entfernen und dabei den Eintrag „Adobe Flash Player 11 ActiveX“ ignorieren, da dies die Version für den Internet Explorer ist

Für Firefox: Sandbox für Flash bereits jetzt nutzen

Mit der öffentlichen Beta von Flash 11.2 präsentiert Adobe erstmals eine Sandbox in einer eigenen, öffentlichen Flash-Version und nennt die Erweiterung schlicht „Protected Mode“. Sie können diese Sandbox-Version von Flash in Firefox bereits jetzt nutzen: Adobe bietet mit Flash 11.2.300.130 eine Beta-Version für Firefox an. Die Beta läuft unter Windows Vista und 7 und liegt in einer 32-Bit-Version vor, die aber auch unter Windows 64-Bit funktioniert. Zwar handelt es sich um eine öffentliche Beta für Entwickler und neugierige Anwender, allerdings läuft Flash bereits so stabil, dass wir im täglichen Einsatz keine Probleme feststellen konnten. Die neue Flash-Version verspricht nicht nur mehr Sicherheit, sondern auch mehr Stabilität für den Browser. Stürzt Flash ab, so betrifft dies nur den Sandbox-Prozess und nicht den gesamten Browser.
 
Zur Installation der Vorab-Version gehen Sie auf die Download-Seite von Adobe Labs und laden dort auf den Link „Download Flash Player Incubator plug-in for Windows 32-bit“. Der Download beträgt 4,7 MB. Bevor Sie dann Flash 11.2.300.130 installieren, müssen Sie erst das vorhandene, ältere Flash-Plug-In für Firefox de-installieren. Dies gelingt entweder in der Systemsteuerung von Windows über den Punkt „Programm deinstallieren“, oder über den von Adobe bereits gestellten De-Installer , der auch bei einer beschädigten Flash-Installation das Plug-In restlos entfernen kann.

Installierte Flash-Version anzeigen: Ob die Installation
der Beta-Version geklappt hat und welche Flash-Version gerade
installiert ist, zeigt die Hilfe-Seite von Adobe an
Vergrößern Installierte Flash-Version anzeigen: Ob die Installation der Beta-Version geklappt hat und welche Flash-Version gerade installiert ist, zeigt die Hilfe-Seite von Adobe an

Um nach der Installation der Flash-Beta das Plug-In zu testen, gehen Sie auf die von Adobe bereitgestellte Übersichtsseite . Wenn dort die Flash-Animation funktioniert und die im Kasten angezeigte Versionsnummer 11.2.300.130 lautet, dann hat die Installation geklappt.

Freitag, 23.03.2012 | 09:59 von David Wolski
Kommentieren Kommentare zu diesem Artikel (0)
1402818