Dacă nu puteți dezactiva java, ce puteți face?

Java este atacat.

Nu numai de la pălăriile negre care realizează descărcări parțiale, atașamente rău intenționate și alte atacuri care exploatează vulnerabilitățile tehnologiei, ci și din pălăriile albe care susțin că utilizatorii nu ar trebui să o folosească deloc. Chiar și după ce Oracle a plasat cea mai recentă serie de vulnerabilități din ziua zero în Java, Echipa de pregătire în caz de urgență a departamentului securității interne (US-CERT) a recomandat utilizatorilor să oprească Java.

La fel ca Adobe Flash, Java este o țintă populară datorită bazei sale extrem de mari instalate. Dacă într-adevăr nu utilizați site-uri web care necesită Java, mergeți mai departe și aruncați-l. Avem chiar și un set frumos de instrucțiuni despre cum să dezactivați Java în browserul dvs.

Dar folosesc Java!

Apoi, suntem ceilalți dintre noi care folosim efectiv Java în mod regulat.

"Mă îndoiesc că orice persoană care acordă atenție sfaturilor de securitate rulează Java, IE 6/7/8 și alții, pentru că vor - vom rula aceste lucruri pentru că trebuie, iar decizia este în afara controlului nostru", guru de securitate Jack Daniel a scris pe Uncommon Sense Security.

Când m-am uitat în jur pentru a vedea ce aplicații folosesc Java, am realizat că multe aplicații desktop populare se potrivesc facturii, inclusiv alternative Office, ThinkFree Office, LibreOffice și OpenOffice, precum și jocuri populare precum Minecraft. Mai multe aplicații Adobe necesită, de asemenea, Java pentru a rula anumite componente. Nimic de care să vă faceți griji, deoarece acestea sunt aplicații Java independente și nu cele care rulează în browserul Web.. Dacă ați urmat instrucțiunile noastre pas cu pas, ați dezactivat Java doar în browser. Aplicațiile locale vor continua să funcționeze bine.

Dar se dovedește că există o mulțime de site-uri și companii de jocuri care încă utilizează Java. Serviciile bancare specializate, cum ar fi Citi Private Bank, care combină investițiile și operațiunile bancare tradiționale într-un singur cont, par să fie un exemplu. Serviciile cloud, cum ar fi Box.net instrumente de încărcare a fișierelor în vrac cu Java. Ambele Citrix și Cisco oferă produse VPN SSL fără client, ceea ce permite utilizatorilor să stabilească un tunel VPN sigur și cu acces la distanță folosind un browser Web activat Java.

Ești student? Șansele sunt că școala dvs. folosește Blackboard, care necesită cea mai recentă versiune a plugin-ului Java pentru a încărca fișiere și atașamente, pentru a utiliza funcția de chat în timp real Class Class și pentru a activa anumite funcții interactive pe platformă.

Pogo.com și KidsPlayPark.com oferă jocuri Java online. Mulți utilizatori Pogo, îngrijorați de ultimele amenințări, par să fi înlocuit Java 7 cu Java 6 (pe care Oracle nu îl va mai suporta după februarie), potrivit postărilor de pe forumurile utilizatorului. Doar așa știți, asta este o idee spectaculos proastă. Există o mulțime de atacuri care vizează softuri depășite; nu este necesar să riscați o serie de atacuri cu totul diferite pentru a evita ultima recoltă.

Care sunt alternativele pentru IT?

"Dacă aveți aplicații critice pentru afaceri care necesită Java: încercați să găsiți un înlocuitor", a scris Johannes Ullrich, Institutul SANS, pe blogul Internet Storm Center, săptămâna trecută.

Platformele de conferințe web par a fi cele mai mari blocaje rutiere. Cisco WebEx și Citrix GoToMeeting au folosit pentru a necesita Java, dar ambele platforme și-au modificat recent aplicațiile pentru a utiliza o versiune diferită dacă nu poate găsi Java. Citrix a spus că este în procesul de eliminare treptată a Java în întregime. Totuși, alții din spațiu, inclusiv MeetingBurner și Brother's OmniJoin, folosesc în continuare Java. Join.me, ClickMeeting și ReadyTalk sunt bazate pe Flash.

Chiar dacă instrumentele de acces la distanță au fost predominant bazate pe Java, există o listă din ce în ce mai mare de alternative care pot fi utilizate pentru suport tehnic, a declarat Chet Wisniewski, consilier pentru securitate pentru Sophos, pentru SecurityWatch . Clienții de la distanță sunt de asemenea încorporate în Mac OS X și Windows.

"Pentru a-mi susține mama și tata, folosesc versiunea gratuită a LogMeIn", a spus el. LogMeIn Free folosește ActiveX.

Ce se întâmplă dacă nu pot comuta?

Pentru multe companii, „nu există nicio alternativă”, a declarat pentru SecurityWatch Thomas Kristensen, CSO din Secunia. Deși este posibil să fie înlocuite unele aplicații, în general, administratorii vor trebui să vină cu alte modalități de a-și proteja angajații. O modalitate de a reduce suprafața atacului este de a activa Java doar pentru cei care au nevoie de el și dezactivați-o pentru toți ceilalți, a spus Kristensen.

În loc să le spună angajaților să nu mai folosească Java, organizațiile ar trebui să se concentreze pe „învelișul cu bule” pentru a-i proteja pe utilizatori, Anup Ghosh a lui Invincea a declarat pentru SecurityWatch . Utilizatorii pot naviga pe web printr-un browser virtualizat, iar dacă întâlnesc site-uri rău intenționate, deschid accidental un fișier prins de booby sau încearcă să descarce malware, mediul virtual ar împiedica atacul să ruleze pe mașina propriu-zisă. Al doilea browser-ul virtual este închis, atacul este eliminat. Și, cel mai bine, un browser virtual te-ar proteja de o gamă mai largă de amenințări, nu doar de cele bazate pe Java.

Utilizatorii pot adopta un sistem cu două browser. Dacă de obicei navigați pe web cu Firefox, de exemplu, luați în considerare dezactivarea pluginului Java în Firefox. Apoi, activați Java într-un browser alternativ, cum ar fi Chrome, IE9, Safari etc., și răsfoiți numai către site-urile care au nevoie de Java și niciodată pentru navigarea generală pe Web.

„Cel mai bine este să activați Java într-un singur browser și să utilizați acel browser numai pentru site-urile web care nu vor funcționa fără acesta”, a spus Wisniewski.

Atacatorilor le place să schimbe țintele - Flash, Internet Explorer, Adobe Reader. "Toată lumea are o zi zero la un moment dat sau altul", a scris Rob VandenBrink de Metafore pe Internet Storm Center.

Dezactivarea Java este doar o modalitate de apărare împotriva amenințărilor Web, dar nu este o soluție universală. Organizațiile își pot limita expunerea și pot adopta practici de securitate, cum ar fi filtrarea Web și determinarea utilizatorilor cu privilegii limitate, pentru a bloca atacurile, a spus el.

„Opriți indicarea cu degetul și faceți recomandări de pătură care nu pot fi urmate”, a scris VandenBrink.

Pentru mai multe din Fahmida, urmați-o pe Twitter @zdFYRashid.