mal wieder: sicherheitsdiskussion

[puma]

bezüglich dem highscore problem...

ich denke, die einzige möglichkeit ist, gewisse zwischen-informationen dem server zu senden, so dass das spiel eigentlich vom server auf irgend einer weise nachvollzogen werden kann. der user müsste dann also diese informationen ebenfalls (während er am spielen ist) fälschen, und das wäre wohl doch mit nur sehr viel aufwand verbunden.

sicherheitssystem sind nie 100%ig sicher, sie sind einfach nur deshalb sicher, weil es zuviel aufwand wäre, sie zu knacken.

gruss
puma

[flayoo]

XadrA Announces Firewall Tunneling and SSL Security Products For Macromedia Flash

Patent-pending FlashTunnel[tm] technology provides only available solution for universal and secure access to interactive Flash content
Belmont, California – November 18, 2002 – XadrA LLC (www.xadra.com) today announced its FlashTunnel product suite allowing universal and secure access to interactive Macromedia Flash content. The patent-pending technologies found in the FlashTunnel product line provide the only solutions available on the market allowing interactive Flash content to be accessed through practically any firewall and with secure socket layer (SSL) encryption.

Designed as a drop-in replacement for the Flash XMLSocket feature, FlashTunnel provides secure, bi-directional, firewall-penetrating communication between Flash and internet servers. FlashTunnel can be easily integrated into any Flash 5 or Flash MX movie making it universally accessible to viewers behind corporate and personal firewalls. Using the widely-adopted SSL encryption protocol, the communications link can be secured to prevent hacking and identity theft.

“The two largest barriers to the successful deployment of interactive Flash content have always been accessibility and security,” explained Andy Riedel, CEO and Founder, XadrA LLC. “As corporate and personal firewalls become more commonplace, content sites and developers are finding that their Flash content doesn’t work for a growing percentage of their users. In addition, Flash-based applications such as casinos, online stores, bank kiosks, multiplayer games, and network management consoles, to name a few, have been plagued by a variety of security issues. Using FlashTunnel, interactive Flash applications can be made accessible to the broadest audience possible while ensuring they have enterprise-quality security. This will certainly increase the use of Flash in many vertical markets that have been waiting on the sidelines.”

The FlashTunnel product line consists of two components: FlashTunnel Firewall Connector and FlashTunnel SSL Connector. They can be used independently or together depending on the deployment needs of the content provider. FlashTunnel Firewall Connector supports bi-directional communication between Macromedia Flash and internet servers even if multiple firewalls reside between them. FlashTunnel SSL Connector encrypts the communication link between Macromedia Flash and internet servers using industry-standard SSL encryption. By combining the two products, encrypted communication links can be established that also penetrate firewalls.

XadrA provides professional services to integrate FlashTunnel products into third-party server solutions. FlashTunnel Firewall Connector and FlashTunnel SSL Connector are available as add-on components to XadrA’s Fortress Interactive Entertainment Platform. Fortress is a comprehensive solution for the rapid creation and deployment of multiplayer games accessible by mobile and web devices.

[wolter]

man man, was die beiden miführenden institutionen der it-branche als news zu flash herausgeben ist hier im flashforum ja schon ein alter hut . aber trotzdem interessant: http://www.heise.de/newsticker/data/cp-29.12.02-002/

schade nur, dass beide die argumente auf flash beziehen und damit unnötig stimmung machen. schliesslich geht es ja um ein grundsätzliches problem...

gruss,

sascha.

[flobo79]

Im Prinzip besteht die Schwachstelle darin, dass das Programm (swf) client-seitig ausgeführt wird, und was auch immer darin passiert, die ergebnisse zurück an den Server gesendet werden müssen. Wenn es also eine Möglichkeit gibt, sein Programm auf dem Server auszuführen (perl,python,c oder was auch immer) und nur die frontendinformationen über zB eine socket-verbindung an den reinen frontend-client (quasi terminal) sendet sollte das thema "wie schütze ich den sensiblen datentransfer" kein problem mehr sein.

Wir haben das ganze mal umgesetzt und es liessen sich auch gar nicht soo schwer realisieren (Python/wddx/mysql/flash). allerdings ist das von der architektur und vor allem von der komplexität von interaktionen recht performance-kritisch. also autorennspiele oder ähnliches mit sehr kurzen interaktionszeiten wären damit wohl schlecht beraten ;-) aber in einarmigen Banditen würden würden nur noch die socket- und die frondend funktionen stecken.

flow

[macmasterflash]

Hallo,

dieses Thema ist zwar schon sehr alt, doch die Problematik bei mir
gerade hoch aktuell ;-)

Wenn ich es richtig verstanden habe, kann ein User nur seine eigene
Verbindung abhören und dementsprechen seine Daten verändert an den
Server schicken, oder hat er die Möglichkeit den gesamten Verkehr
des Socket-Server Port einzusehen?

Falls ersteres zutrifft, ist man auf der sicheren Seite, wenn man jede
Interaktion des Users vom Server gegenprüft und erst bei Ligimitation
zur Verarbeitung durchlässt?

Ich hoffe es kann mir jemand etwas genaues dazu sagen.

Danke & Grüße