Artikel top billede

Læren af Java-hullet: Vi har brug for central styring

Computerworld mener: Sikkerhedshullet i Java afslørede samtidig det egentlige hul i den danske web-sikkerhed.

Læs også:
Kæmpe nul-dags-hul fundet i Java - din netbank i fare

Myndighed: Danskerne skal deaktivere Java nu

Nets trods kæmpe Java-hul: Brug NemID som normalt

Computerworld mener: Der mangler en sikkerheds-kalif i Danmark.

Sådan én, der kan banke i bordet og afgøre, hvad der er rigtigt og forkert. Én andre lytter til og retter sig efter. Altid.

Det er i hvert fald, hvad man kan ønske sig denne mandag, efter at et kæmpe 0-dags-hul i Java i fredags fik alle advarselslamper til at blinke.

Sikkerhedshullet i Javas JRE er opsigtvækkende af flere grunde.

Dels er Java at finde på milliarder af maskiner verden over, dels bruges Java til mange forskellige typer af applikationer - ikke mindst til NemID her i Danmark.

Derfor søger mange naturligvis et godt råd, når nu alarmklokkerne ringer.

Skal man deaktivere Java, eller er hullet ikke så kritisk, at det er nødvendigt?

I fredags fik man mange ord fra mange kloge folk. Men man blev ikke nødvendigvis meget klogere.

Sådan lød anbefalingerne

Sikkerhedsfirmaet CSIS Security Group kunne oplyse om et omfattende misbrug fra flere dedikerede og organiserede bander:

"... der systematisk anvender det friske hul til at plante ransomware, netbank- og informationstyve samt avancerede rootkits og downloadere, der kan installere falske sikkerhedssprodukter og anden uønsket software."

Det officielle danske sikkerhedscenter i Danmark, DK-CERT, gik direkte ud med en advarsel mod at bruge browsere med Java 7 aktiveret.

"I august så vi et lignende sikkerhedshul i Java, og vores anbefaling er denne gang, at borgerne skal deaktivere browserens Java-plugin," lød det fra DK-CERT.

Chef-sikkerhedskonsulent Thomas Wong fra Fortconsult anbefalede også, at offentlige myndigheder og virksomheder burde slå Java fra med det samme.

Samtidig erkendte han dog, at det kan være lettere sagt end gjort:

"Har de slået det fra? Det tvivler jeg på. De kan have interne systemer, som kræver Java-understøttelse, og spørgsmålet er, hvor meget de kunne arbejde uden Java," sagde han.

Nets: Kør bare videre
Og så kom leverandøren af NemID, Nets, på banen, og her lød anbefalingen pludselig:

"Vi anbefaler, at folk benytter Java, som de plejer."

For selvom Nets skam var bekendt med Java-hullet og havde læst sikkerhedseksperternes anbefalinger, var it-leverandøreren af en anden opfattelse:

"Vi mener dog ikke, at der er nogen grund til at gøre noget specielt som eksempelvis at afinstallere Java eller gøre andet på nuværende tidspunkt."

"Vi hører også, at man bør deaktivere Java eller benytte særskilte browsere, men det mener vi ikke er nødvendigt på nuværende tidspunkt."

Nu bliver forvirringen da total

Hvis der skulle sidde nogen derude bag computerskærmene med en mistanke om, at Nets som NemID-leverandør forsøgte at nedtone Java-dramatikken, så var der skam også andre, der ikke mente, at man skulle slå Java fra.

"Man skal udvise påpasselighed og installere opdateringer, når de kommer," lød udmeldingen fra GovCERT, som hører under Forsvarets Efterretningstjeneste og koncentrerer sig om cyber-angreb rettet mod myndigheder.

Kiggede man mod udlandet, blev forvirringen total, for blandt andre det svenske CERT og US Homeland Security mente nemlig, at man skulle slå Java fra.

Anbefalingerne var mange, og de gik ikke i samme retning.

Det mest konkrete er næsten kommet fra Oracle selv, der rangerer sikkerhedshullerne med en score på 10 på CVSS Base Score (Common Vulnerability Scoring System), hvor skalaen går fra 0 til 10 med 10 som det højeste. 

Hvem kan vurdere sikkerhedstrusler?
Thomas Kristmar fra GovCert kom i fredags med denne udmelding:

"Hvis man eksempelvis har et forretningsmæssigt behov for at bruge Java, så er det jo dem, der har forretningen, som skal finde ud af, hvilke forretningsmæssige konsekvenser det vil have for dem at imødegå det," sagde han.

Det er en fornuftig tilgang til sikkerhedsspørgsmål. For myndigheder og virksomheder, der ved, hvad de har med at gøre og kan foretage en risikovurdering.

Langt værre er det med de almindelige net-brugere, der ikke har den fornødne indsigt eller viden og derfor må forholde sig til de officielle udmeldinger.

For hvad var det nu lige præcis, anbefalingen var? Skulle man slå Java fra eller ej?

Her står vi i dag

Selvom Oracle i første omgang var noget tavs omkring sikkerhedshullet, kom selskabet allerede søndag med to rettelser, der kan lappe hullet i firmaets Java-platform.

Dermed har vi en løsning på det aktuelle problem.

Hvad vi dermed mangler, er et svar på, hvem man skal lytte til, næste gang et kritisk hul i Java eller andre teknologier, afsløres.

Måske er det bare utopi at tro, at det kan lade sig gøre? Måske er sikkerhed for kompliceret et spørgsmål til, at nogen kan levere enkle svar?

Hvis det er tilfældet, hvem vælger du så at lytte til, næste gang, der er problemer med sikkerheden?

Mens du tygger på det spørgsmål, kan du hente rettelserne til Java-hullet her.

Læs også:

Kæmpe nul-dags-hul fundet i Java - din netbank i fare

Nu lapper Oracle endelig kritisk Java-hul




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
JN Data A/S
Driver og udvikler it-systemer for finanssektoren.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere