Če ne morete onemogočiti Java, kaj lahko storite?

Java je napadla.

Ne samo iz črnih klobukov, ki se ukvarjajo s prenašanjem datotek, zlonamernimi prilogami in drugimi napadi, ki izkoriščajo ranljivosti tehnologije, temveč tudi iz belih klobukov, ki trdijo, da jih uporabniki sploh ne bi smeli uporabljati. Tudi po tem, ko je Oracle na Javi zakrpal zadnjo serijo ranljivosti, ki niso nikodnevne, je oddelek za računalniško pripravljenost na oddelek za domovinsko varnost (US-CERT) uporabnikom priporočil, da izklopijo Javo.

Tako kot Adobe-jev Flash je tudi Java priljubljena tarča, saj ima izjemno veliko nameščeno bazo. Če res ne uporabljate spletnih mest, ki zahtevajo Javo, pojdite naprej in jo odložite. Imamo celo lep nabor navodil, kako onemogočiti Java v svojem brskalniku.

Javo pa uporabljam!

Potem pa smo še ostali, ki dejansko uporabljamo Java.

"Dvomim, da vsak, ki je pozoren na varnostne nasvete, vodi Java, IE 6/7/8 in druge, ker želijo - te stvari izvajamo, ker moramo, in odločitev je zunaj našega nadzora, " varnostni guru Jack Daniel je pisal o Uncommon Sense Security.

Ko sem se razgledal, da vidim, katere aplikacije uporabljajo Java, sem ugotovil, da številne priljubljene namizne aplikacije ustrezajo računu, vključno z alternativami Office, ThinkFree Office, LibreOffice in OpenOffice ter priljubljenimi igrami, kot je Minecraft. Več aplikacij Adobe zahteva tudi Java za zagon določenih komponent. Nič ne skrbite, saj gre za samostojne Java aplikacije in ne tiste, ki se izvajajo v spletnem brskalniku.. Če ste upoštevali naša navodila po korakih, ste Java onemogočili samo v brskalniku. Lokalne aplikacije bodo še vedno v redu.

Vendar se izkaže, da obstaja veliko spletnih mest in podjetij, ki še vedno uporabljajo Javo. Kot primer so videti specializirane bančne storitve, kot je Citi Private Bank, ki združuje vlaganje in tradicionalno bančništvo v en račun. Storitve v oblaku, kot so Box.net orodja za nalaganje večjih datotek z Javo. Citrix in Cisco ponujata VPN izdelke, ki niso odjemalci, kar uporabnikom omogoča vzpostavitev varnega tunela VPN z oddaljenim dostopom z uporabo spletnega brskalnika, ki podpira Java.

Ali si študent? Verjetno vaša šola uporablja Blackboard, ki zahteva najnovejšo različico vtičnika Java za nalaganje datotek in prilog, uporabo funkcije za klepet v realnem času Virtual Classroom in omogočanje nekaterih interaktivnih funkcij na platformi.

Pogo.com in KidsPlayPark.com ponujata spletne igre Java. Številni uporabniki Pogo, ki so zaskrbljeni zaradi najnovejših groženj, kažejo, da je Java 7 zamenjal z Java 6 (ki jo Oracle po februarju ne bo več podpiral), kažejo objave na uporabniških forumih. Samo tako, da veste, to je izjemno slaba ideja. Obstaja veliko napadov, ki ciljajo na zastarelo programsko opremo; ni potrebe, da tvegate celoten niz napadov, samo da bi se izognili najnovejšim pridelkom.

Katere so alternative za IT?

"Če imate kakršno koli poslovno kritično aplikacijo, za katero je potrebna Java: poskusite poiskati nadomestitev, " je prejšnji teden na spletnem dnevniku Center Storm Center zapisal Johannes Ullrich, inštitut SANS.

Zdi se, da so platforme spletnih konferenc največja ovira. Ciscova WebEx in Citrix GoToMeeting sta zahtevala Javo, vendar sta obe platformi pred kratkim spremenili svoje aplikacije za uporabo drugačne različice, če Java ne najde. Citrix je dejal, da je Java v celoti postopna odprava. Drugi v vesolju, vključno z MeetBurner in Brother's OmniJoin, pa še vedno uporabljajo Java. Join.me, ClickMeeting in ReadyTalk temeljijo na Flash-u.

Čeprav so orodja za oddaljeni dostop večinoma temeljila na Javi, obstaja vse več možnosti, ki jih je mogoče uporabiti za tehnično podporo, je za SecurityWatch povedal Chet Wisniewski, varnostni svetovalec za Sophos. Oddaljeni namizni odjemalci so vgrajeni tudi v Mac OS X in Windows.

"Za podporo mami in očetu uporabljam brezplačno različico LogMeIna, " je dejal. LogMeIn Free uporablja ActiveX.

Kaj če ne morem preklopiti?

Za številna podjetja "ni druge možnosti, " je za SecurityWatch povedal Thomas Kristensen, CSO iz Secunije. Čeprav bo morda mogoče nadomestiti nekatere aplikacije, bodo na splošno administratorji morali izbrati druge načine za zaščito svojih zaposlenih. Kristensen je dejal, da lahko zmanjšate napadalno površino tako, da Java omogočite samo tistim, ki jo dejansko potrebujejo, in jo onemogočite za vse druge.

Namesto da bi zaposlenim govorili, naj prenehajo uporabljati Java, bi se morale organizacije osredotočiti na "zavijanje mehurčkov", da bi zaščitile uporabnike, je za SecurityWatch povedal Inupinin Anup Ghosh. Uporabniki lahko brskajo po spletu prek virtualiziranega brskalnika in če naletijo na katera koli zlonamerna spletna mesta, naključno odprejo zagonsko datoteko ali poskušajo prenesti zlonamerno programsko opremo, bi virtualno okolje preprečilo napad na dejanski stroj. Drugi navidezni brskalnik je zaprt, napad se odstrani. In najboljše od tega, da bi vas navidezni brskalnik zaščitil pred širšim spektrom groženj, ne le tistih, ki temeljijo na Javi.

Uporabniki lahko sprejmejo sistem z dvema brskalnikoma. Če običajno brskate po spletu z Firefoxom, na primer razmislite o onemogočanju vtičnika Java v Firefoxu. Nato omogočite Java v alternativnem brskalniku, kot so Chrome, IE9, Safari itd., In brskajte samo po spletnih mestih, ki potrebujejo Java in nikoli za splošno brskanje po spletu.

"Najbolje je, da omogočite Java v enem brskalniku in ga uporabljate samo za spletna mesta, ki brez njega ne bodo delovala, " je dejal Wisniewski.

Napadalci radi spreminjajo cilje - Flash, Internet Explorer, Adobe Reader. "Vsakdo ima vsak dan nič ali več, " je v Internet Storm Center zapisal Rob VandenBrink Metafore.

Onemogočanje Jave je le en način obrambe pred spletnimi grožnjami, ne pa tudi univerzalna rešitev. Organizacije lahko omejijo izpostavljenost in sprejmejo varnostne prakse, na primer filtriranje po spletu in uporabnike z omejenimi privilegiji, da blokirajo napade, je dejal.

"Nehajte kazati s prstom in dajati priporočila, ki jih ni mogoče upoštevati, " je zapisal VandenBrink.

Več o Fahmidi spremljajte na Twitterju @zdFYRashid.