Flash Player 11.3 のセキュリティ関連の新機能

Flash Player 11.3 には、既に Apple Developer ID によるサインが行われています。そのため、Gatekeeper による警告無しでインストールができる （はず） です。

ですので、もし、今後 Flash Player のインストールがブロックされたら、それはフィッシングによるものかもしれません。ともあれ、Flash Playre はアドビサイトからのみインストールすべきである、とのことでした。

それから、Mac 関連では、バックグラウンド更新機能も追加されました。この機能は、既に Windows 環境で提供されているものと同じです。

Flash Player 11.3 から、Mac でも、バックグラウンド更新の利用が選択されると、定期的に更新の有無を確認するようになります。更新が見つかると、ダウンロードからインストールまで自動で行われるため、ユーザの手を煩わせることがありません。

Windows 版 Firefox の保護モード

Flash Player 11.3 から追加された Windows 版 Firefox 用の保護モードは、今年の 2 月に公開されたベータ版を元にしたものです、 （Flash Player の Windows 版 Firefox 用保護モードのベータ版）

IE、 Chrome と対応が行われてきた Flash Player の保護モードですが、Firefox の保護モードは更に一歩進んだものとなっています。信頼性の確保に使われている主要な手段は、以下の 2 点です。

• Flash Player をサンドボックス内で実行
• ブローカーを経由したリソースへのアクセス

Firefox 用の保護モードでは、Flash Player が実行されるサンドボックスと、ブローカーのプロセスの他に、Firefox と NSAPI で通信するためのプロセスが使われれます。そのため、Flash Player が実行されると、Firefox の子プロセスが 3 つ増えます。

Firefox 用のサンドボックスには、3 種類の制限がかけられています。最後の 1 つは、Chrome 用の保護モードには無かったものです。

• 低い信頼性のプロセスとして実行
• SID によるアクセストークンの権限の制限
• プロセス機能への制約を設定 （同時に実行できるプロセス数、他のプロセスとの通信、等）

このようにして、まず、Flash Player のプロセスが行える操作を、限定されたものとしています。

更に、Flash Player から OS リソースが要求されたとき、その内容を監視するためのブローカーが用意されています。

サンドボックスは、OS リソースが必要な場合、ブローカーを経由するように作られています。そして、ブローカー側には、アクセス可能なリソースのリストが定義されています。

例えば、ブローカーはアクセスの許可されたパスのリストを持っています。そのため、Flash Player からシステム上の任意のファイルにアクセスすることはできません。

サンドボックスの実現には、Windows Vista から追加された OS 機能が使われているそうです。XP 上の Firefox では、Vista 以降と同等の保護はないと考えた方が良さそうです。