Безопасность сокетов

В языке ActionScript подключение к сокетам осуществляется посредством классов XMLSocket, Socket и NetConnection. В табл. 19.7 и 19.8 перечислены конкретные местоположения и порты, к которым можно открывать сокетные соединения с помощью методов классов XMLSocket и Socket. В таблицах не описан класс NetConnection, который используется в приложениях Adobe Flash Media Server и Adobe Flex. Информацию по безопасности класса NetConnection можно найти в документации по этим продуктам.

И в табл. 19.7, и в табл. 19.8 термин «разрешениераспространителя» подразумевает, что оператор сервера сделал доступным надлежащий файл междоменной политики безопасности. Более подробную информацию можно найти далее, в разд. «Разрешения распространителя (файлы политики безопасности)».

В табл. 19.7 показано, может ли удаленный SWF-файл устанавливать сокетное соединение с четырьмя перечисленными местоположениями.

Таблица 19.7. Удаленный тип безопасности песочницы, допустимые и запрещенные сокетные соединения

Локальная область действия, любой порт Удаленная область действия внутри региона происхождения SWF-файла, порт 1024 и выше Удаленная область действия внутри региона происхождения SWF-файла, порт 1023 и ниже Удаленная область действия за пределами области происхождения SWF-файла, любой порт

Допускается только по разрешению распространителя Допускается Допускается только по разрешению распространителя Допускается только по разрешению распространителя

В табл. 19.8 показано, может ли SWF-файл, тип безопасности песочницы которого представлен в крайнем левом столбце, устанавливать сокетное соединение с местоположениями, перечисленными в остальных столбцах.

Таблица 19.8. Локальные типы безопасности песочниц, допустимые и запрещенные сокетные соединения

Тип безопасности песочницы Локальная область действия, любой порт Удаленная область действия, любой порт

Локальный с поддержкой файловой системы Запрещается Запрещается

Локальный с поддержкой сети Допускается только по разрешению распространителя Допускается только по разрешению распространителя

Локальный с установленным доверием Допускается Допускается

Примеры сценариев безопасности

Чтобы подкрепить практикой изученный материал, рассмотрим несколько примеров, которые демонстрируют, как система безопасности приложения Flash Player позволяет предотвратить получение данных посторонними лицами. В каждом сценарии сначала описывается способ, которым мог бы воспользоваться хакер для получения данных при отсутствии системы безопасности приложения Flash Player, а затем порядок действий системы безопасности при предотвращении попытки хакера завладеть целевыми данными.