KiloOctet Blog

Comprendre la sécurité du Flash Player 8 (et les options de publications)

Ah ben moi je suis du genre à lire les trucs super vite à avoir l'impression de tout comprendre et de me ramasser quand il faut mettre en application. Et la nouvelle façon d'aborder la sécurité pour le player 8 n'a pas dérogé à la régle...

Alors je fais un petit résumé :

Options de publications (Accés local / accés réseau) : Je pensais tout bêtement que un swf avec accès local pouvait communiquer avec les fichiers html local qui l'incluait. Mais non. En fait cette option indique seulement si dans le cadre d'une lecture en local, le swf pourra charger des fichiers locaux (xml, txt, swf) ou par le réseau. Un swf avec l'option réseau pourra aussi appliquer des getURL mais uniquement pour des pages html. Pas d'interactivité JavaScript. Pour cela il faut que le swf soit "de confiance" (trusted).

Et pour qu'il soit trusted ?

Il faut soit le configurer par les paramètres du player, soit indiquer le nom du fichier dans un fichier texte FlashTrusted à stocker dans un dossier de config précis, ce qui implique que pour proposer à des gens un site local communiquant en JS avec Flash 8, de créer un installeur qui modifira ce fichier FlashTrusted... De quoi donner un bel avenir à Zinc, mProjector, SwfStudio, ScreenWeaver et... Apollo.

Pour en revenir sur la sécurité flash, il existe un petit outil en ligne de commande qui permet de modifier le paramètre de sécurité d'un swf sans le republier avec Flash 8. Je vais essayer si j'ai le temps d'en créer une version GUI plus abordable.

En tous les cas l'intérêt de publier un swf avec l'option accés local reste limité mais surement que je n'entrevois pas encore toutes les implications de tout cela.

En tous les cas fini l'envoie de site en zip au client pour tester sur son poste. Ce n'est pas plus mal.