[Technik] Flash-Player: Adobe holt sich Hilfe bei Googles Project Zero

Nach der nicht abreißenden Serie von schweren Sicherheitslücken im Adobe Flashplayer zieht Adobe nun die Notbremse. In Zusammenarbeit mit dem Project Zero von Google wurden viele bekannte Flash-Exploits nun analysiert und konkrete Sicherheitsmaßnahmen entwickelt. Dadurch soll bereits die aktuelle Version 18.0.0.209 deutlich sicherer werden. Man sei aber laut eigener Aussage noch weit vom selbst gesteckten Ziel entfernt.

Technische Verbesserungen sollen in der aktuellen Version vor allem durch Heap Partitioning und Heap Randomization erreicht werden, eine Methode die bereits bei Google Chrome seit längerem zum Einsatz kommt. Diese und weitere technische Details kann man im offiziellen und umfangreichen Blog-Eintrag nachlesen.

Dennoch werden auch die Stimmen in der Netzgemeinde immer lauter, dass die Ära des Flashplayers nun endgültig vorbei sei. Da aber immer noch ca. 23 Prozent aller Websites im Internet auf Flash-Inhalte setzen, wird es noch eine ganze Weile dauern, bis das Flash-Plugin wirklich obsolet wird. Umso wichtiger ist es daher, dass die Software nun wieder aktuellen Sicherheitsstandards gerecht wird.


Quelle: derStandard

 

[MSX]

Ein schöner Kommentar zum Thema auch bei heise: http://www.heise.de/meldung/Kommentar-Weg-mit-Flash-2751583.html

Ich hab das Ding seit längerer Zeit nicht mehr installiert und bisher hab ich noch nichts vermisst. Ab und an mal geht was nicht, aber es war, so wie auch der Kommentarautor anmerkt, nichts wichtiges dabei. - Selbst der Pr0n-Bereich geht in der Regel ohne. ;-)

 

[loopzone]

[post=""543297""]@MSX:[/post]

Leider guckt mein Frauchen ab und zu Serien auf sixx.de. Und dafür braucht man unbedingt Flash. Und leider sind mit sixx.de die ganzen Flashprogramme unter Ubuntu inkompatibel. Jedenfalls ist das meine Erfahrung. Und deshalb musste ich ihr nun auf meinem Windows Laptop einen extra Account einrichten.

Ein Teufelskreis...

 

[MSX]

Argh, ok, das ist dann natürlich ärgerlich. - Vielleicht lernen die auch irgendwann, oder eher möglichst bald dazu. :-)

Wäre vielleicht interessant, welche sonstigen wichtigen Seiten noch auf Flash setzen. Das da oben waren halt meine Erfahrungen. Bisher eigentlich alles ok. ;-)

 

[thom53281]

Ein schöner Kommentar zum Thema auch bei heise: http://www.heise.de/meldung/Kommentar-Weg-mit-Flash-2751583.html

Unterschreibe alles, was dort steht. Adobe ist gerade dabei, die tote Kuh noch etwas zu melken aber hat selbst auf jeden Fall bereits erkannt, dass Flash keine Zukunft mehr hat. Vermutlich gehen die zahlreichen Meldungen über Schwachstellen auch darauf zurück, dass die Investitionen in Flash wohl nach und nach zurückgefahren wurden.

Zumindest der jetzige Schritt war lange überfällig, da man eine Software, die von 23% des Internets genutzt wird, nicht "einfach so" sterben lassen kann ohne all deren Benutzer einer enormen Sicherheitsgefahr auszusetzen. Das wäre so wie der Tod von Windows XP, wo immer noch genügend User ungepatcht herumsurfen - allerdings gibt es hier wenigstens sinnvolle Alternativen was auf Flash nicht zutrifft (solange $Seite kein HTML5, etc. anbietet).


Ich persönlich kann auf meinem Arbeitsnotebook bereits seit längerer Zeit ebenfalls auf Flash verzichten und bin da recht froh drum. Wobei Flash unter Linux sowieso noch nie wirklich Spaß gemacht hat. Auf dem Zweit-PC und Filme-PC ist es aber immer noch installiert für unbelehrbare Seiten, leider.

 

[electric.larry]

Auch wenn ich die Sicherheitsbedenken teile und vorallem die Open Source Lizenz von Flash vermisse, ein bisschen traurig macht es mich dann doch, wenn ich sehe, wie vergesslich das Internet (geworden) ist. Bei dem ganzen Flash-Bashing denkt kaum einer daran, wieviele Türen diese Technik für Webdesigner und Entwickler aufgemacht hat: Filme sehen auf einer Website, interaktive 3D-Animationen im Netz und Anwendungen, die plötzlich ohne Refresh der kompletten Seite ausgekommen sind.
Vielleicht war das für manche hier vor 10 Jahren schon ein alter Hut, aber ich hab nicht schlecht gestaunt, als ich das erste mal z. B. derbauer.de gesehen hab oder meine ersten Versuche mit Papervision gemacht hab; lange bevor HTML5 ein öffentliches Thema war.

Es ist schon gut, wenn man Flash jetzt zu Grabe trägt, aber man sollte dem System (und vorallem Adobe) schon auch den notwendigen Respekt zollen. Die haben viel Zeit und Arbeit in die Technik gesteckt und zweifelsohne viele Techniker dabei inspiriert, das "Web 2.0" zu gestalten.

Würd mich wirklich interessieren was aus Flash geworden wär, hätten Apple & Co. nicht mit aller Kraft versucht die Konkurrenz aus dem Markt zu drängen.

 

[Novgorod]

[Leider guckt mein Frauchen ab und zu Serien auf sixx.de. Und dafür braucht man unbedingt Flash. Und leider sind mit sixx.de die ganzen Flashprogramme unter Ubuntu inkompatibel. Jedenfalls ist das meine Erfahrung. Und deshalb musste ich ihr nun auf meinem Windows Laptop einen extra Account einrichten.

Ein Teufelskreis...

ist dir klar, wieviel zeit und nerven du sparen würdest, wenn du sie einfach zu kinox.to o.ä. (mit adblocker natürlich) umleitest?

 

[Darkcloud]

@loopzone: hast du mal kodi mit dem 7TV addon probiert?

 

[virtus]

Jetzt wird sich alles zum Guten wenden.

 

[MSX]

"SIXX ... und sonstige wichtige Seiten"? Über die Sinnhaftigkeit dieser Aussage lässt sich streiten.

Streiten, diskutieren, debattieren. Wie Du magst, aber sicher nicht mit mir. Wenn Du Wortklauberei betreiben willst und Dich doof stellen, mach das, aber nerv mich bitte nicht. Danke.

Welche Seiten betrachtest du als "wichtig"? Machst du das anhand der Anzahl der Nutzer fest? Oder am Content, der durch die Seite gestellt wird? Oder an der Art und Weise, wie Content von den Besuchern genutzt wird? Ist Wikipedia wichtig? Ist Google wichtig? Ist Amazon wichtig? Ist Microsoft wichtig? Ist Facebook wichtig?

Ich bin mir sicher, wenn Du nun ein wenig nachdenkst, schaffst Du es, diese Fragen selbst zu beantworten.

 

[virtus]

Ich bin mir sicher, wenn Du nun ein wenig nachdenkst, schaffst Du es, diese Fragen selbst zu beantworten.

Klar, die Frage ist sehr individuell, aber mir ist bisher keine Seite untergekommen, die Flash erfordert hat, die ich als "wichtig" erachtet hätte.
Ich erinnere mich noch daran, dass damals[SUP]TM[/SUP] einige Seiten mit Java Applet funktioniert hatten, denen man Nützlichkeit hätte unterstellen können. Vor allem Simulationen von chemischen oder physischen Experimenten. Flash ist mir seit jeher jedoch nur als Spielerei bekannt. Komplette Seiten, die aus aufwändigen Flashfilm-Animationen bestanden haben, Flash-Musikplayer, Flashfilmchen.
Daher interessiert es mich schon, was du als sinnvolle Seiten betrachtest.


Gibt es Java Applets überhaupt noch? Die scheinen vollkommen ausgestorben zu sein, oder?
Mir ist zumindest in den letzten 10 Jahren überhaupt keins mehr untergekommen.

 

[Darkcloud]

Klar, die Frage ist sehr individuell, aber mir ist bisher keine Seite untergekommen, die Flash erfordert hat, die ich als "wichtig" erachtet hätte.

Bis vor ein oder zwei Jahren lief fast jede Videoseite nur über Flash und selbst Youtube funktioniert ohne flash noch nicht ganz so gut wie mit.

 

[thom53281]

1. Adobe könnte Updates für sämtliche aktiven Flash Versionen herausbringen, die das Flashplugin deinstallieren/ deaktivieren.
2. Adobe könnte den Vertrieb von Entwicklungsumgebungen für Flash einstellen.
3. Adobe könnte sowohl den Entwicklern, als auch den Anwendern per Update eine Warnung unterschieben, dass die Technologie abgeschaltet wird.
4. Browser- und Betriebssystemhersteller könnten zusätzlich Patches herausgeben, die das Flashplugin deaktivieren/ deinstallieren.

Jeder dieser Punkte würde funktionieren, hat aber ein großes Problem: Der entsprechende Herausgeber würde sich dermaßen bei der Netzgemeinde unbeliebt machen, dass der Imageschaden auf kurze Zeit zumindest enorm wäre. Daher wird das niemand tun, völlig ausgeschlossen. Vor allem da Adobe zwar die Investitionen in Flash zurückgefahren hat aber imho immer noch ein Wirtschaftsunternehmen ist und zumindest bei dem jetzigen Verbreitungsgrad durch die massenhafte Benutzung immer noch profitiert.

Das Signal kann nicht von Adobe, $Betriebssystemhersteller oder $Browserhersteller ausgehen. Vor allem bei letzterem gibt es genügend Alternativen denen die User dann in Scharen zurennen würden, weil "...unter Firefox geht mein Video nicht mehr, nehm ich halt Chrome."

Das Signal muss von der Netzgemeinde ausgehen, indem immer mehr Websites auf HTML5 umstellen und der Flashplayer von vorneherein obsolet wird. Man kann den Nutzern nicht ihr Glück aufzwingen, auch wenn ich das oft gerne selber tun würde.

Welche Seiten nutzt du für Filme, die auf Flash basieren?

Tut eigentlich nicht wirklich was zur Sache. Es gibt immer noch genügend davon, so dass man sich jetzt nicht an Einzelfällen aufhängen muss. Sobald ich den Flashplayer vom System entfernen kann, ist er sofort weg.

 

[virtus]

Jeder dieser Punkte würde funktionieren, hat aber ein großes Problem: Der entsprechende Herausgeber würde sich dermaßen bei der Netzgemeinde unbeliebt machen, dass der Imageschaden auf kurze Zeit zumindest enorm wäre. Daher wird das niemand tun, völlig ausgeschlossen. Vor allem da Adobe zwar die Investitionen in Flash zurückgefahren hat aber imho immer noch ein Wirtschaftsunternehmen ist und zumindest bei dem jetzigen Verbreitungsgrad durch die massenhafte Benutzung immer noch profitiert.

Für die Standard-Endanwender dürfte das kaum auffallen. Ob ein Video mittels Flash oder HTML5 Technologie gestreamt wird, das ist dem durchschnittlichen Anwender egal, solange es funktioniert.

Das Signal kann nicht von Adobe, $Betriebssystemhersteller oder $Browserhersteller ausgehen. Vor allem bei letzterem gibt es genügend Alternativen denen die User dann in Scharen zurennen würden, weil "...unter Firefox geht mein Video nicht mehr, nehm ich halt Chrome."

Oh ho, der 0-8-15 Anwender ist sauer auf Adobe, weil sie den Flashplayer zu Grabe tragen. Anwender sind nicht die Zielgruppe von Adobe. Adobe führt ein B2B Geschäft. Ist die Customer-Seite wegen Adobe angepisst, dann interessiert das keinen.
Und was willst tun, wenn alle o.g. Parteien an einem Strang ziehen? "unter Firefox geht Flash nicht mehr.. aber unter Chrome ebenfalls nicht und nicht unter Safari, Opera, IE, Edge, *beliebigen anderen Browser hier einsetzen", aber im Optimalfall bekommt es eh keine Sau mit, weil Entwickler bis dahin auf modernere Technologien umgestellt haben.
Es gibt dann höchstens einen Shitstorm gegen die Entwickler, die es nicht schaffen, in absehbarer Zeit ihre Anwendungen zu migrieren.

 

[thom53281]

Für die Standard-Endanwender dürfte das kaum auffallen. Ob ein Video mittels Flash oder HTML5 Technologie gestreamt wird, das ist dem durchschnittlichen Anwender egal, solange es funktioniert.

Dem Endanwender dürfte es aber sehr wohl auffallen, wenn $Video oder $Flashgame nicht funktioniert, weil $Anbieter noch nicht auf HTML5 umgestellt hat.

Der Shitstorm geht immer gegen die, die den Flashplayer abschalten und nicht gegen die, die es nicht rechtzeitig geschafft haben, ihre Anwendungen umzuziehen. So wie bei Windows XP wo auch Microsoft die Bösen sind und nicht die, die es nicht rechzeitig geschafft haben, umzustellen.

 

[electric.larry]

Apple ist keine Konkurrenz zu Flash. Apple bietet keine vergleichbare Technologie an, zumindest nicht dass ich wüsste.

Adobe hat Apple damals vorgeworfen, dass man durch das Unterbinden von Flash den Appstore schützen hätte wollen. Apple konterte damit, dass Flash nicht Open Source sei.

Über das dreibeinige Pferd musste ich lachen. Du hast ja recht, die Technik ist inzwischen von HTML5, webGL, you-name-it eingeholt. Aber vor 10 Jahren hätte man lange nach einem Browser suchen müssen, der diese Dinge verstanden hätte. Das Flash Plugin hingegen ermöglichte das in allen Browsern, sogar im IEX.

Ich hab schon so einige Techniken kommen und gehen gesehen, das passiert halt in der IT noch viel schneller als im Reallife. Aus meiner Sicht war Flash dennoch ein wichtiger Schritt in der Entwicklung des Klicki-Bunti-Internets.

 

[virtus]

Adobe hat Apple damals vorgeworfen, dass man durch das Unterbinden von Flash den Appstore schützen hätte wollen. Apple konterte damit, dass Flash nicht Open Source sei.

Richtig, das nicht-OpenSource Problem hat dazu geführt, dass man nicht optimieren konnte und folglich zum Problem, das ich bereits angesprochen habe.

Über das dreibeinige Pferd musste ich lachen. Du hast ja recht, die Technik ist inzwischen von HTML5, webGL, you-name-it eingeholt. Aber vor 10 Jahren hätte man lange nach einem Browser suchen müssen, der diese Dinge verstanden hätte. Das Flash Plugin hingegen ermöglichte das in allen Browsern, sogar im IEX.

Richtig, allerdings doch deshalb, weil Flash state of the art war und eben alles geliefert hatte, was man zu brauchen glaubte. Warum etwas entwickeln, was es schon gibt, wenn das was es gibt Verbreitung hat und funktioniert? Mit der Zeit hat sich gezeigt, dass es auch besser geht.

Ich hab schon so einige Techniken kommen und gehen gesehen, das passiert halt in der IT noch viel schneller als im Reallife. Aus meiner Sicht war Flash dennoch ein wichtiger Schritt in der Entwicklung des Klicki-Bunti-Internets.

Definitiv, wobei man bei der IT auch sagen muss, dass sich Altlasten über Jahre halten. Wir haben noch Überbleibsel aus den 90ern, nur um Abwärtskompatibilität zu gewährleisten. Es könnte ja passieren, dass ein Windows 3.1 Nutzer des Weges kommt. Traurig aber wahr.
Beispiele hat man ja im Zuge der ganzen SSL-Bugs gesehen. Da werden Crypto-Protokolle mitgeschleppt, die seit Jahren erwiesener Maße gebrochen sind, aber weil man jede noch so verlorene Seele mitnehmen möchte, bleibt es selbst in aktuellen Applikationen enthalten. Da musste es auch erst krachen, bevor man eingesehen hat, dass SSLv2 kaputt ist und SSLv3 auch nicht mehr zu empfehlen ist.

 

[Pleitgengeier]

@loopzone: Hast du schon Chromium ausprobiert?
Das letzte Flash für Linux ist ja uralt, Chromium hat aber einen von Google gepflegten Flash-Player integriert.

@virtus: Keepvid.com dürfte recht bekannt sein und benutzt ein Java-Applet um die Links zu extrahieren.

@thom53281: Würden mal normale Massenmedien (Zeitungen, Fernsehen) berichten welcher Anteil an Schadsoftware die Lücken in Flash nutzt und dazu zeigen wie man feststellt ob Flash installiert wird und wie man es loswird, würde das auch einiges bewirken...

 

[virtus]

@virtus: Keepvid.com dürfte recht bekannt sein und benutzt ein Java-Applet um die Links zu extrahieren.

Kannte ich bisher noch nicht, aber es funktioniert auch mit deaktiviertem Java, also kein Problem.