Flash-plug-in voor Firefox gaat sandbox in

De Flash-plug-in voor Firefox wordt veiliger. De plug-in gaat in een sandbox draaien; de Flash-plug-in voor Chrome doet dat al langer. De sandbox-versie van de plug-in is op dit moment nog in bèta; een stabiele versie volgt later dit jaar.

Dat schrijft beveiligingsonderzoeker Peleus Uhley van Adobe. De gesandboxte versie is nu al als bèta te downloaden, maar het is een bètaversie in de klassieke zin van het woord, waaraan dus nog het nodige moet worden gesleuteld. Omdat er veel wijzigingen aan de code zijn aangebracht om sandboxing mogelijk te maken, kan het zijn dat Flash-content op het internet niet goed werkt.

De sandboxing zorgt ervoor dat de Flash-plug-in in een apart proces met geringe rechten wordt ondergebracht. Een beveiligingsprobleem in Flash moet daardoor minder schade aanrichten. Dat is hard nodig, want veel malware maakt gebruik van Flash-exploits om zichzelf op de systemen van onwetende internetters te nestelen. De bèta werkt op Windows Vista en 7, en met Firefox-versie 4.0 en hoger.

De testversie is overigens alleen beschikbaar in 32bit; de 64bit-versie van Firefox wordt dus niet ondersteund. Het is onduidelijk wanneer daarin verandering komt. Overigens kan de 32bit-versie van Firefox gewoon op een 64bit-systeem worden gebruikt.

In 2011 kwam sandboxing al naar de Flash-plug-in voor Google Chrome. De plug-in wordt samen met Google Chrome verspreid, waardoor alle Chrome-gebruikers momenteel over een gesandboxte Flash-plug-in beschikken. Wanneer Firefox-gebruikers hetzelfde kunnen zeggen, is nog niet helemaal duidelijk; Adobe is van plan ergens dit jaar een stabiele versie uit te brengen.

Wanneer ook de Internet Explorer-plug-in in een sandbox draait, is nog onbekend, schrijft Infoworld. De Flash-plug-in voor IE maakt gebruik van de ActiveX-architectuur, waardoor het integreren van sandboxing op een andere manier moet gebeuren.

Overigens ondersteunt Flash al Protected Mode in Internet Explorer, waarbij IE in een sandbox draait. De Flash-plug-in zelf draait echter niet in een sandbox. Adobe Reader draait al langer in een sandbox; volgens Adobe is het aantal succesvolle aanvallen op de plug-in daarmee tot nul gedaald.

Reacties (42)

[Verwijderd]

Dit is een zeer slechte zaak. Eenvoudiger was het geweest om de ondersteuning voor flash er compleet uit te gooien, zo blijven we doormodderen met iets waar niemand blij van wordt behalve de kraaltjes en spiegeltjes liefhebbers onder ons.

Een serieuze en zichzelf respecterende site maakt geen gebruik van flash. Doen ze dat nog wel dan hebben ze nog een hoop werk om alles om te bouwen.

[The Zep Man]

Dit is een zeer slechte zaak. Eenvoudiger was het geweest om de ondersteuning voor flash er compleet uit te gooien, zo blijven we doormodderen met iets waar niemand blij van wordt behalve de kraaltjes en spiegeltjes liefhebbers onder ons.

Eenvoudiger (en belangrijker: veiliger) zal het zeker zijn! Helaas maken te veel gewenste (door eindgebruikers: de klanten) sites gebruik van Flash en toegegeven: je kan er meer mee dan alleen films afspelen. In dit geval wordt door Adobe de verstandige keuze gemaakt om optioneel gewenste functionaliteit veiliger te maken.

Een serieuze en zichzelf respecterende site maakt geen gebruik van flash. Doen ze dat nog wel dan hebben ze nog een hoop werk om alles om te bouwen.

Het ligt eraan waarom een site Flash gebruikt. Als dit bijvoorbeeld alleen voor films is, dan is het "ombouwen" naar HTML5 niet heel moeilijk. Maar kijk echter verder dan multimediaoplossingen. Soms worden daadwerkelijk nuttige applicaties in Flash gebouwd. Een voorbeeld is de RDP client van Oracle voor VirtualBox (wordt bijvoorbeeld gebruikt in phpvirtualbox). Het is in dit geval voor de ontwikkelaar makkelijker om iets te schrijven in Flash, omdat die plugin wordt ondersteund in meerdere besturingssystemen en browsers. Ook is Flash meer backwards compatible, en hoeft de ontwikkelaar geen rekening te houden met nieuwe versies van browsers.

Voor elke browser bij elke nieuwe versie het wiel opnieuw uitvinden kost aanzienlijk meer werk. Dit werk kan afgedragen worden aan Adobe met haar Flash Player, die er wel voor zorgt dat de plugin blijft werken in de meest populaire browsers.

[Reactie gewijzigd door The Zep Man op 26 juli 2024 15:03]

[.MaT]

Dit werk kan afgedragen worden aan Adobe met haar Flash Player, die er wel voor zorgt dat de plugin blijft werken in de meest populaire browsers.

En daar heb je nog een heel groot pijnpunt van flash: de meest populaire browsers onder windows op een stevige desktop/laptop.
In OSX/Linux werkt het vaak niet even lekker evenals op alle zwakkere computers. Op tablets/smartphones/... heb je het vaak niet en als je het al hebt is het 9 op de 10 keer ook een browser-lagfest en batterijvreter. Op dumbphones en andere embedded devices kan je het meestal al helemaal vergeten en in dat geval is er niemand die een oplossing kan bieden buiten adobe zelf

Nee, dat argument gaat vandaag niet meer op.
Ten eerste verschuift een groot deel van ons internetgebruik naar telefoons, tablets en embedded devices (TV, mediaspelers,...). Op elk een HTML5 compatible browser meegeven, die nog geupdate kan worden door de fabrikant, lijkt me veel wenselijker dan dat adobe voor elk van deze toestellen een flashvariant gaat ontwikkelen, tweaken en vervolgens enkele jaren blijft ondersteunen.

Ten tweede keren steeds meer ontwikkelaars flash de rug toe of begint hun enthousiasme ervoor uit te doven. Onlangs nog MS die in de metro-interface van windows 8 ook geen plugin ondersteuning meer aanbied en dat zal toch wel een grote invloed hebben.

[TvdW]

Mee eens dat het beter is om totaal te stoppen met Flash, maar ik denk dat 99% van de gebruikers dat niet leuk gaat vinden...

[Verwijderd]

Ik mis Flash op mijn Lumia nogal. Er zijn nog veel te veel sites die Flash gebruiken, niet alleen voor videos, maar ook voor menus.

Het is goed dat het nu eindelijk in een sandbox gaat draaien, dat zouden veel meer plugins en volledige programmas moeten doen. Ik draai de volledige browser in een sandbox.

[watercoolertje]

Het is pas over met Flash als het over is, geen micro seconde eerder!

Het verdwijnen van ondersteuning moet dan ook zeker niet van de gebruikerskant komen (daar heb je toch alleen jezelf mee), maar vanuit de webdevelopers kant...

Oftewel ik gebruik flash met alle plezier, je mag me uitmaken voor kraaltjes en spiegeltjes liefhebber, de mening van een of andere op tweakers flapdrol doet er voor mij niet zo toe Zelfs op me telefoon ben ik er blij mee en hen ik nergens last van (voordat iemand over reclame begint, ook daar niet, want ik beslis zelf welke flash ik gebruik/inlaad en welke niet!)

Firefox is al op ze retour kwa marktaandeel, flash er uit gooien zou dat hooguit versnellen, en dan gebruiken mensen ineens allemaal chrome welke wel flash ondersteuning heeft en heeft mozilla werkelijkwaar niks bereikt want flash wordt dan nog steeds gebruikt, alleen niet meer in hun browser

[Reactie gewijzigd door watercoolertje op 26 juli 2024 15:03]

[Bonez0r]

Firefox is al op ze retour kwa marktaandeel, flash er uit gooien zou dat hooguit versnellen, en dan gebruiken mensen ineens allemaal chrome welke wel flash ondersteuning heeft en heeft mozilla werkelijkwaar niks bereikt want flash wordt dan nog steeds gebruikt, alleen niet meer in hun browser

Wow, je doet nu net alsof het binnenkort afgelopen is met firefox. Er is een grote speler—chrome—bijgekomen, dan is het niet meer dan logisch dat de andere browsers wat aandeel inleveren. Er zal vanzelf een nieuw evenwicht ontstaan. Ook schijn je het wenselijk te vinden dat iedereen chrome gaat gebruiken. Lijkt me geen goed idee, dan krijg je weer hetzelfde als met IE vroeger. Nee, laat mensen maar lekker verschillende browsers gebruiken. Goed voor de diversiteit en daarnaast goed voor de concurrentie.

offtopic:
En ja, ik gebruik firefox

[Reactie gewijzigd door Bonez0r op 26 juli 2024 15:03]

[gimbal]

Het verdwijnen van ondersteuning moet dan ook zeker niet van de gebruikerskant komen (daar heb je toch alleen jezelf mee), maar vanuit de webdevelopers kant...

Je zou kunnen stellen dat de 'webdeveloper' (vrij brede term) de gebruiker is van Flash. De groep personen waar jij op doelt zijn de gebruikers van wat met behulp van Flash gemaakt is. Dat Flash eronder hangt hoeven ze verder niet te weten en is ook helemaal niet belangrijk, zolang ze hun dingen maar kunnen doen.

Maar verder zijn we het eens

[Reactie gewijzigd door gimbal op 26 juli 2024 15:03]

[Verwijderd]

Inderdaad, jou mening doet er niet toe, helemaal mee eens. Typisch een geval van geen argumenten hebben en dan iedereen die het niet met je eens is een flapdrol noemen.

Waarom is Flash nodig, kan iemand dat mij zeggen? Ik denk het niet, het is franje, meer niet. Voor deze franje betaal je wel een prijs, de prijs van de onveiligheid en instabiliteit.

Dan moet je ook niet mopperen als plots blijkt dat er vanaf jouw systeem vreemde berichten de wereld in worden gestuurd of dat jouw systeem deelnemer is van een botnet-netwerk. Tja, is dat die franje dan nog wel waard?

[HenkDeFreeze]

Beetje kort door de bocht. Als ik de site van een klant of opdrachtgever moet bezoeken en deze heeft wat flash op z'n pagina dan zou ik er helemaal niets meer van zien.
Moet ik ze dan ook meteen vertellen hoe fout ze wel niet zijn dat ze nog flash gebruiken? Geloof niet dat dat de omzet ten goede zal komen
Gezien de betere alternatieven tegenwoordig zal het vanzelf wel uitsterven. Het is iig niet aan Firefox om Flash een nekschot te geven (als ze dat al zouden kunnen, want men pakt rustig een andere browser).

[Verwijderd]

Ja, dat moet je inderdaad. Hoe sterk was het optreden van Steve Jobs toen hij de iPad presenteerde, geweldig gewoon. Beetje bladeren, beetje doen, tralala, heel relaxed. Komt hij plots op de site van de New York Times was het geloof ik. Goh, wat een toeval, er stond een prachtig kruis waar anders een flash animatie te zien was op de voorpagina.

Hij knipperde niet eens met zijn ogen, zei er helemaal niets over maar door dit te doen zei hij alles, geweldig gewoon.

Flash moet weg, scheelt je een hoop security-leaks, bergen met vastlopers en ook een systeem dat veel vlotter reageert.

[Verwijderd]

Inderdaad, wijs zo'n klant of opdrachtgever, of in mijn geval het ABP, waar ik "klant" ben, op het feit, dat zij het zijn, die mij willen DWINGEN zeer gevaarlijke ADOBE-software te installeren, opdat ik hun site kan bezoeken ...... Ik weiger dat uiteraard.
In het geval van het ABP wordt bijvoorbeeld de toegang tot mijn gegevens zelfs volledig geblokkeerd. Van de pot gerukt!
Overheidswebsites, ook die van gemeentes, provincies en waterschappen, moeten sinds 2011 voldoen aan de webrichtlijnen. http://webrichtlijnen.nl/
Hierin staat de basisfunctionaliteit van een website altijd moet werken, ook als de bezoeker bijvoorbeeld geen Flash kan zien.

Helemaal eens met de scherpe reaktie van TONHE.

[kimborntobewild]

Eenvoudiger was het geweest om de ondersteuning voor flash er compleet uit te gooien, zo blijven we doormodderen met iets waar niemand blij van wordt behalve de kraaltjes en spiegeltjes liefhebbers onder ons.

Tja... Dan mag je Windows er ook uitgooien. Daar modderen we al een jaar of 17 mee.

[Verwijderd]

die is leuk en helemaal terecht.

Er is helaas niets beters en aub niet met de Mac of linux komen. Mac is onbetaalbaar en linux is voor de gemiddelde gebruiker absoluut onbruikbaar omdat je toch telkens weer zit te wroeten met scripts en andere narigheid.

[alienfruit]

Ach ja, zolang geluidsondersteuning nog belabberd is in de browser dan moeten we Flash nog wel gebruiken. Oftewel of heel het spel in Flash maken of een fallback met Flash voor het afspelen van geluid.

[Reactie gewijzigd door alienfruit op 26 juli 2024 15:03]

[MtC]

Dit is een zeer goeie zaak. Hoe meer processen gescheiden worden, hoe beter voor de gebruiker. Idealiter zouden we natuurlijk geen flash plugin meer nodig hebben, gezien de mogelijkheden van HTML5, maar tot die tijd kan je maar beter zorgen dat je flash-plugin niet je hele browser kan onderuithalen.

[Ramon]

Dat is hard nodig, want veel malware maakt gebruik van Flash-exploits om zichzelf op de systemen van onwetende internetters te nestelen.

Vraag me af of de firefox-extensie Flashblock daar ook tegen helpt?
oh sorry dit was niet bedoeld als reactie.

[Reactie gewijzigd door Ramon op 26 juli 2024 15:03]

[Soldaatje]

Ja lijkt me wel, als Flash niet kan draaien kan het ook geen narigheid uithalen.
Maar het is niet voldoende omdat veel mensen toch wel klikken en dus flash activeren.
Het mooiste zou zijn als er überhaupt geen beveiligingslekken in flash zouden zitten maar dat zal wel een brug te ver zijn.
Dan is zo'n sandbox wel een goed idee.

[imqqmi]

Dat helpt zeker, vooral de flash objecten die niet in beeld zijn worden dan niet uitgevoerd.

Veel beter was geweest als firefox (en andere browsers) een sandbox voor alle plugins zou hebben. Er zitten in veel plugins beveiligingslekken zoals pdf, quicktime enz. En dan de browser zelf nog in een sandbox.

[YuriV]

Volgens mij gaat het niet zozeer over het onderuithalen van de browser maar meer over de beveiliging tegen malware en vage websites die gebruik maken van allerlei exploits.

[Vexxon]

Naar mijn mening alleen veel te laat, dit had zoveel issues kunnen schelen.

[Aham brahmasmi]

Idealiter zouden we natuurlijk geen flash plugin meer nodig hebben, gezien de mogelijkheden van HTML5, maar tot die tijd kan je maar beter zorgen dat je flash-plugin niet je hele browser kan onderuithalen.

HTML5 is geen volledige vervanger voor Flash; hier ga ik verder niet over uitwijden want dat is al vaak genoeg gedaan. Verder kon Flash al sinds Firefox 3.6.4 de browser niet meer onderuit halen aangezien de plugin in een apart proces (plugin-container.exe, bij Windows iig) draait.

[codebeat]

Precies, en ik ga daar verder ook niet over uitwijden. HTML5 != Flash zeker wat audio betreft.

[ZpAz]

De Windows 8 Metro IE 10 doet het nog veiliger, die laat plugins als Flash en Silverlight achterwege.

[DanielsWrath]

Dat kan je tegenwoordig nog niet echt doen denk ik, aangezien HTML5 nog niet geheel is uitgerold en flash nog gebruikt wordt door sites

[ZpAz]

Apple doet het al sinds 2007 en Adobe is ook gestopt met het uitbrengen van nieuwe versies van flash voor mobiele devices. Als Windows 8 dat straks ook nog gaat hebben in de "metro" interface dan keldert het gebruik van flash omlaag.

En spelletjes, ach daar heb je geen flash voor nodig.

[kimborntobewild]

De sandboxing zorgt ervoor dat de Flash-plug-in in een apart proces met geringe rechten wordt ondergebracht. Een beveiligingsprobleem in Flash moet daardoor minder schade aanrichten. Dat is hard nodig, want veel malware maakt gebruik van Flash-exploits om zichzelf op de systemen van onwetende internetters te nestelen.

Het blijft toch echt symptoonbestrijding. Die kant moeten we helemaal niet uit.

[Verwijderd]

Integendeel, dit is geen symptoonbestrijding. Dit is een extra veiligheidsbarriere, hetgeen een fundamentele basis vormt voor betere security. Niet voor niets dat bij andere plug-in's dit vrijwel alle problemen oplost.

[Brambo84]

"De testversie is overigens alleen beschikbaar in 32bit; de 64bit-versie van Firefox wordt dus niet ondersteund. Het is onduidelijk wanneer daarin verandering komt. Overigens kan de 32bit-versie van Firefox gewoon op een 64bit-systeem worden gebruikt."

Firefox heeft tot nu toe nog geen 64 bit versie dacht ik. Het enige wat ik kan vinden is een nightly build van firefox 13.

[Rembert]

Ik draai op OS-X de 64-bit versie, dacht dat die er sinds FireFox 8 ook was voor Windows?

Overigens kan de 32bit-versie van Firefox gewoon op een 64bit-systeem worden gebruikt.

Ook Silverlight draait op OS-X alleen in 32 bit: als ik dan Magister open (om schoolcijfers van mijn kids te bekijken), dan moet ik mijn browser dus herstarten naar 32 bits mode. Heel fijn, er staan altijd wel een aantal belangrijke tabjes open die bij herstart niet goed open gaan. Als de Flash sandbox idd 32 bits blijft, dan komt het moment "exit flash" nog sneller.

Kortom, Adobe zal hard moeten werken om een goede sandbox te maken, die zowel in 32 als 64 bit goed werkt. Hoop dat het bij-effect van deze sandbox is dat de flash plugin niet meer af en toe zoveel resources 'vreet' op mijn Mac cq. mijn browser niet meer omver knikkert.

Trouwens, OS-X Lion biedt toch uitgebreide sandboxing ondersteuning, sterker, binnenkort moet volgens mij alle software die in de appstore staat in een sandbox draaien. Als Firefox al in een sandbox draait, waarom zou je dan flash in een sandbox binnen een sandbox draaien? Ok ok, FireFox is niet beschikbaar via de Appstore.

[_Thanatos_]

Voorkomt dit dan ook dat een crash van de plugin de hele browser met alle windows en tabbladen onderuit haalt?

[SunnieNL]

Dat gebeurd al bijna niet meer sinds windows aparte threaths gebruikt voor de verschillende tabs... tenzij je daar aan hebt lopen sleutelen...

[Snake]

Ik dacht dat dat al gebeurde met plugin-container?

[Paul - K]

Die zorgde er alleen voor, dat wanneer flash vastliep niet de hele browser meeging maar alleen de flash apps op de pagina crashten.

[cork87]

Ok haal jij alles met flash maar van je pc. Beetje onrealistisch op dit moment denk je niet? Ja ik ben het wel met je eens, dat het zo snel mogelijk weg moet. Maar tot die tijd is dit wel een betere oplossing dat het huidige.

[Paul - K]

Goed nieuws maar eens gaan installeren binnenort

[Blonde Tux]

Wel typisch dat deze sandbox'ed plugin alleen voor Windows momenteel beschikbaar is, terwijl ook bij vele versies van Pwn2Own Flash ook op de andere platforms een sandbox kan gebruiken.

Tuurlijk je kan het gewoon de hele browser in een jail of andere sandbox omgeving draaien, maar wie van de gewonen consument doet dit?