协作保障RIA安全
微软与Adobe长期保持安全合作。在本次BlueHat会议上，我们将共同分享富互联网应用(RIA)安全领域的研究成果。尽管双方各自拥有完善的安全模型，但攻击者常通过技术组合寻找突破口。开发者也可能在不知风险的情况下混合使用不同技术。通过研究共享与信息整合，我们可确保开发者掌握核心技术知识，无论采用何种技术组合都能为用户提供安全体验。
复合页面的安全挑战
单个网页可能由多个开发团队采用不同技术构建。作为站点安全负责人，必须清晰理解内容交互方式才能评估风险。若缺乏对各内容模块权限的明确映射，攻击者可能找到防御体系的隐蔽突破路径。
典型案例分析
-
跨域权限假设错误
研究者发现：当woodgrovebank.com向adatum.com授予XHR2跨域权限时，若adatum.com的SWF广告通过allowScriptAccess参数获得JavaScript访问权，则第三方广告可间接访问银行域名——这可能违背银行的原始授权意图。 -
真实世界攻击复现
renren.com蠕虫事件中，恶意SWF利用"always"脚本权限注入SCRIPT标签，再借助站点现有的跨域AJAX架构收集用户社交关系。该攻击模式同样适用于具有EnableHTMLAccess权限的Silverlight内容。
安全架构建议
- 统一权限视图：混合内容架构需建立全局权限视图，通过数据流图标注跨域通信节点
- 通用防御策略：
- 审核所有RIA内容对HTML DOM的访问权限
- 制定兼容多种RIA技术的安全规范
- 限制第三方内容的脚本执行权限
技术协同价值
理解RIA平台的共性与差异，能使开发者：
- 准确评估混合技术架构风险
- 设计弹性安全边界
- 在丰富用户体验与安全防护间取得平衡