Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Ile dni minęło od ostatniego Java zero-day?
Trzeba przyznać, że skuteczne śledzenie wszystkich nowych luk zero-day na Javę stało się w ostatnim czasie sporym wyzwaniem. Gdybyście jednak chcieli być w tym temacie na bieżąco, polecamy pewien wyspecjalizowany serwis!
Ostatnie kilka tygodni to nieustanny festiwal nowych exploitów na Javę. Przez dziurawe wtyczki w przeglądarkach internetowych swoich pracowników zhackowane zostały firmy takie jak Microsoft, Facebook czy Twitter. Trudno więc się dziwić narastającej frustracji, z której rodzą się inicjatywy takie jak Java-0day.com.
Odliczanie dni od ostatniego Java 0-day
Jak widać, serwis odlicza dni od ostatniego znanego exploitu Java zero-day, udostępnia odnośnik do szczegółów na jego temat oraz podaje aktualny stan dostępności poprawki producenta. Wreszcie, Java-0day radzi nam, jak być bezpiecznym, wskazując artykuł „Jak wyłączyć Javę w mojej przeglądarce”.
Czy twórcom tego typu stron internetowych chodzi o nasze bezpieczeństwo?
Prawdopodobnie nie tylko. Trudno oprzeć się wrażeniu, że celem takich kampanii jest raczej zdyskredytowanie samej technologii oraz jej producenta. Być może jest to jedna z prób zachęcenie Oracle’a do płacenia za informacje o nowych lukach? W każdym razie trudno się zgodzić z tymi, którzy twierdzą, że „zakazanie” Javy rozwiąże wszystkie nasze problemy z bezpieczeństwem w Internecie!
– Wojciech Smol, (wojciech.smol<at>sekurak.pl)
„W każdym bądź razie trudno się zgodzić z tymi, którzy twierdzą, że „zakazanie” Javy rozwiąże wszystkie nasze problemy z bezpieczeństwem w Internecie!”
Może nie wszystkie, ale wystarczająco dużo, żeby było warto. ;)
@Stefan,
Moim zdaniem, jeśli nie będzie Javy, to jakiś inny popularny plugin zacznie spełniać jej niechlubną funkcję.
Znaczenie apletów Javy w przeglądarkach będzie stopniowo maleć wraz ze wzrostem popularności nowych API HTML5. Za jakiś czas wtyczka Javy nie będzie potrzebna do niczego.
Także cierpliwości :)
@bl4de,
Tylko pytanie, czy dzięki temu internauci będą mogli „bezpiecznie” serfować :)?
@Wojciech
Generalnie rzecz biorąc, przeglądarka i wtyczki to tylko narzędzia. Problem bezpieczeństwa leży bardziej w sposobie ich wykorzystania, niż w samym narzędziu.
Nawet biorąc pod uwagę luki w Javie, przy zachowaniu odpowiednich środków zaradczych można skutecznie chronić się przed zagrożeniami.
Są jednak dwa podstawowe problemy:
– brak świadomości/wiedzy użytkowników
– wiedza/świadomość jest, brakuje konsekwencji w działaniu lub występuje inny czynnik ludzki (nieuwaga, roztargnienie, celowe „omijanie” procedur bezpieczeństwa)
Dopóki będzie istniał czynnik ludzki (a raczej będzie istniał długo, jeśli to ludzie mają być głównymi odbiorcami treści), dopóty problem bezpieczeństwa oprogramowania będzie istniał.