Як захистити себе від всіх цих Adobe Flash 0-день безпеки
Adobe Flash знову піддається атаці, з ще одним «0-днем» - новою дірочкою безпеки, що експлуатується ще до того, як доступний патч. Ось як захистити себе від майбутніх проблем.
Шкідливий веб-сайт - веб-сайт із шкідливою рекламою з рекламної мережі третіх сторін - може зловживати однією з цих помилок для компрометації комп'ютера.
Увімкнути функцію "Натисніть та відтворити" (або повністю видалити Flash)
Теоретично можна видалити Flash, щоб уникнути цих проблем. Потрібно все менше і менше, навіть якщо YouTube повністю скидає Flash для сучасного відео HTML5 у сучасних веб-браузерах. У найгіршому випадку, коли ви натрапите на якийсь відео сайт, який вимагає Flash, ви завжди можете просто витягнути свій смартфон або планшет і використовувати мобільний сайт - вони побудовані без Flash.
Але іноді потрібний Flash, і ми не можемо рекомендувати більшість людей повністю видалити його. Якщо ви бажаєте, щоб Flash інсталювався, - і ви, напевно, зробите, на жаль - увімкнення відтворення за кліком - найкращий доступний вам варіант. Це забороняє веб-сайтам завантажувати потрібний вміст Flash. Під час відвідування сайту можна просто натиснути значок заповнювача, щоб завантажити певний елемент Flash, наприклад відео. Flash не запускатиметься автоматично, захищаючи вас від атак, коли ви інфікуєтеся просто від відвідування веб-сайту.
Але не білим списком будь-яких веб-сайтів!
Ви не повинні використовувати білий список "відтворення за кліком", який дозволяє автоматично завантажувати вміст Flash на певні довірені сайти. Ось чому:
Нещодавня атака була виявлена в оголошеннях на Dailymotion, популярному відео-сайті. Це вид сайту, який буде розміщений на білому сайті, щоб вони не потребували додаткового натискання кожного разу, коли вони хотіли б подивитися відео Dailymotion. Проте білий список сайту дозволить завантажувати весь вміст Flash, включаючи потенційно шкідливі оголошення. Використання функції "натискання для відтворення" та просто натискання основного відеопрогравача, щоб завантажити його, запобігло б цій атаці - натискання "відтворити" дозволяє завантажувати лише певні елементи Flash на сторінку, зменшуючи вашу вразливість.
Відтворення за кліком не є панацеєю, оскільки деякі оголошення розміщуються в відеопрогравачах. Так, ви потенційно могли б експлуатуватися звідти, використовуючи певну вразливість до нуля. Але це не про уникнення будь-якого ризику - це мінімізація ризику, наскільки це можливо.
Використовуйте Chrome, Chromium або Opera для пісочниці Flash
Додатки веб-переглядача, такі як Flash, ніколи не були створені для забезпечення безпеки, що передбачає запуск їх у середовищі з низькими дозволами, завдяки чому напади на цю версію Flash не отримають доступ до всього комп'ютера.
Компанія Google трохи пом'якшила цю проблему за допомогою плагіна "PPAPI" (або "Pepper API"), який використовується в Google Chrome, і Chromium з відкритим вихідним кодом, який є основою для Chrome. PPAPI надає додаткову пісочницю, яка може захистити вас від вразливостей. Але реальне рішення повністю замінює плагіни.
Останній бюлетень з безпеки від Adobe зазначає: «Ми знаємо про повідомлення про те, що ця уразливість активно експлуатується в дикій природі через атаки, що проходять через завантаження, від систем, що використовують Internet Explorer і Firefox у Windows 8.1 і нижче. Це може бути тому, що система PPAPI забезпечує додаткову безпеку. Користувачі Chrome не повинні мати помилкового почуття безпеки, оскільки це не захищено від будь-яких проблем, але Chrome, ймовірно, є найбезпечнішим браузером для використання Flash.
Chrome включає плагін Flash, але ви також можете завантажити плагін PPAPI для Chromium або Opera з веб-сайту Adobe. Chromium є основою для Chrome і Opera, тому три веб-переглядачі повинні мати однакові функції безпеки для Flash.
Тримайте флеш автоматично
Не забудьте оновити плагін Flash. Це не захистить вас від 0-днів - які не мають випуску виправлення, за визначенням - але це важлива частина забезпечення плагіна Flash на вашому комп'ютері. Коли ці дірки в безпеці виправлені, ви отримаєте оновлення.
Існує кілька способів зробити це. Якщо ви користуєтеся Google Chrome, Google включає вбудований модуль Flash з пробкою (PPAPI) із Chrome. він буде автоматично оновлюватися разом із веб-переглядачем Chrome, тому вам навіть не доведеться думати про це.
Якщо ви використовуєте Internet Explorer у Windows 8 або Windows 8.1, Microsoft також включає версію плагіна Flash з IE. Оновлення для Flash для IE можна отримати від служби Windows Update разом з іншими оновленнями безпеки.
Якщо ви використовуєте інший веб-переглядач - Firefox, Opera або Chromium на будь-якій версії Windows; або навіть Internet Explorer у Windows 7 або більш ранніх версіях - потрібно використовувати вбудовану програму оновлення Flash. Flash рекомендує вмикати автоматичне оновлення під час інсталяції, але слід перевірити, чи автоматичне оновлення на вашому комп'ютері фактично ввімкнено.
У Windows ви знайдете цей параметр у розділі Flash Player на панелі керування. Відкрийте панель керування та знайдіть "Flash", щоб знайти ярлик, або клацніть категорію System & Security і прокрутіть вниз донизу. Натисніть піктограму "Flash Player", перейдіть на вкладку Додатково та переконайтеся, що автоматичне оновлення включено.
Використовуйте інший веб-переглядач або профіль браузера для Flash
Замість того, щоб повністю видалити Flash або виключно на основі кліків, можна використовувати окремий профіль веб-переглядача, у якому активовано Flash, і відкривати його лише тоді, коли потрібна Flash.
Наприклад, якщо ви користуєтеся Firefox у більшості випадків, ви можете видалити програму Flash і встановити Google Chrome. Запустіть Google Chrome (який постачається з вбудованим програвачем Flash), коли потрібно використовувати вміст Flash. Або ви можете створити окремий "профіль" (обліковий запис користувача в Chrome) у самому веб-переглядачі та вимкнути Flash лише у вашому основному профілі, залишивши Flash у другому профілі. Це дозволить ізолювати Flash у окремому районі від вашого основного веб-переглядача.
Плагіни браузера небезпечні - насправді плагіни та архітектура базового плагіна просто не були розроблені з урахуванням безпеки. Java є найгіршим з групи, але навіть у Flash є нескінченний потік проблем. Хороша новина полягає в тому, що єдиний плагін, який вам, мабуть, знадобиться, - це Flash, і веб-сайт залежить від цього менше з кожним днем.
