Artikel top billede

Eksperter er enige: Derfor bør du helt droppe Java

Java er så usikker for brugernes computere, at eksperter gerne så det helt droppet.

Læs også:

Ekstremt farlig sårbahed i Java udnyttes af hackere.

Kritisk sårbarhed i vigtig Java-opdatering fra Oracle.

Sådan beskytter du dig imod den nye Java-sårbarhed.

Beskyldning: Oracle har kendt farlige Java-huller i månedsvis.

Din antivirus snorksover: Blokerer ikke for Java-trussel.

Java er under angreb.

Alvorlige sikkerhedshuller har den seneste tid udløst flere angreb og kritikken af Oracle, der står bag softwaren, tager til.

Eksperter i Sverige anbefaler nu ligefrem, at man begynder at se sig om efter et alternativ, skriver Computerworlds svenske søstermedie, Computersweden.

Java findes på utalige computere og mobile enheder, og Java og Flash angibes stadig hyppigere. Desuden findes Java på mange hardware-platforme. Det er kompleks kode, og det er med til at forværre problemet, mener eksperter.

30. august sendte Oracle en sikkerhedsopdatering på gaden udenfor det sædvanlige opdateringsskema. Den skulle lappe fire huller, der gør det muligt at fjernestyre de programmer, der kører på en brugers computer, uden først at skulle logge ind.

Sikkerhedshullet findes i Java-programmer, der afvikles i browsere, de såkaldte applets, og altså ikke i de fritstående Java-programmer på klient-pc'er eller servere.

I de tilfælde er det brugeren selv, der med administrationsrettigheder skal klikke ind på et websted, som indeholder skadelig kode, der udnytter sårbarhederne.

Skadelig Java-kode

Den skadelige Java-kode, der udnytter hullet, kan i princippet overtage kontrollen af en brugers computer og downloade anden skadelig kode, skade filer og i det hele taget true computerens integritet.

Hundreder af millioner bruger Java SE 7, den seneste grundversion af Java, og de risikerer ansgreb, hvoraf der allerede er forekommet en række.

Java-leverandøren Oracle får på puklen fra flere fronter. For det første påstås det, at Oracle har kendt til sikkerhedshullet siden april, fra den polske virksomhed Security Explorations.

Hvis det er sandt, har det altså taget Oracle fire måneder at udsende den patch, der skal lappe det.

For det andet har Security Explorations fundet nye sårbarheder i opdateringen fra 30. august.

For det tredje synes Oracle at være dårlig til at informere om sårbarhederne, og om hvad der skal gøres ved dem.

For det fjerde er Mac-brugerne endnu værre stillet end pc-brugerne, eftersom de ofte først får adgang til opdateringer flere uger eller måneder efter Windows-brugerne.

Hvad gør vi?

Og hvad skal vi så stille op med alt dette?

Jo, som absolut minimum bør man installere den patch, som Oracle sendte ud 30. august. Men er man stadig usikker, er den eneste mulighed at lade være med at bruge Java i sin browser.

Der er eksempler på virksomheder, der har lukket for muligheden for at køre Java på de ansattes computere. Men det er en utålelig situation for en it-chef, hvis hele virksomheden er afhængig af et Java-program, der kører i browseren.

Sikkerhedseksperter sætter spørgsmålstegn ved, om Java fortsat skal være platform for applikationsafvikling.

For de sikkerhedsbevidste virksomheder er det naturligt at identificere og lukke det svageste led i kæden, og hvis man oplever Java som netop det svageste led i kæden, så vil virksomhederne begynde at kigge på andre platforme, skriver Computersweden.

Nedslående læsning for Oracle

Læs også:

Ekstremt farlig sårbahed i Java udnyttes af hackere.

Kritisk sårbarhed i vigtig Java-opdatering fra Oracle.

Sådan beskytter du dig imod den nye Java-sårbarhed.

Beskyldning: Oracle har kendt farlige Java-huller i månedsvis.

Din antivirus snorksover: Blokerer ikke for Java-trussel.

Computersweden har spurgt en række it-sikkerhedseksperter om, hvordan virksomheder og brugere skal forholde sig Java og Oracles sikkerhedsproblemer.

Det er nedslående læsning for Oracle.

Anne-Marie Eklund Löwinder, kvalitets- og sikkerhedschef, Stiftelsen for Internetinfrastruktur:

"Det her kan være meget alvorligt for alle brugere. Vi har slået Java fra. Problemerne opstår, fordi det er en så kompleks software, der er blevet har lappet og repareret på for længe."

"Personligt så jeg gerne, at man helt holdt op med at bruge Java. Desværre prioriterer softwarefirmaerne at komme hurtigt ud på markedet med produkter, i stedet for at bruge tid på sikkerhed."

Mikael Simovits, sikkerhedskonsulent, Simovits Consulting:

"Løsninger som Java og Flash er et problem, eftersom sikkerhedshuller får stor betydning. Jeg ser ingen speciel årsag til, at det bliver problem lige nu. Man kan spekulere i, at den måde, Java udvikles på, spiller en rolle, men der findes for lidt statistik til at kunne analysere det. Jeg tror mere på, at det er tilfældig, at hændelserne indtræffer lige nu."

Robert Malmgren, sikkerhedskonsulent, Romab:

"Det er et stort problem. Java findes på mange computere, og da leverandører af software til operativsystemer har oppet sig, rettes flere anreb mod Java og Flash."

"Desuden findes Java på mange hardwareplatforme og er alment komplekst. Læg dertil, at der findes et vist hovmod blandt Java-udviklere, som går ud fra, at Java er sikkert."

Per Hellqvist, sikkerhedsekspert, Symantec:

"Jo mere kompleks en software er, jo sværere bliver det at sikre den. Hvis man ikke har tillid til Java, er den endelige løsning at afinstallere det, men man kan ikke vende kappen efter vinden for hvert eneste sikkerhedshul. I sidste ende handler det om at træffe en bevidst forretningsbeslutning."

Tomas Djurling, sikkerhedskonsultent, Djurling Säkerhetsinformation:

"Det er et kæmpe problem, eftersom mange anvender Java. Problemet er, at det er en kompleks platform, der er vokset. Det er sandsynligvis andre udviklere. som arbejder med den i dag på Oracle, end da Java tillhørte Sun. De har nok ikke haft tid til at sætte sig ind i, hvordan den fungerer ordentligt."




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Also A/S
Salg af serviceydelser inden for logistik, finansiering, fragt og levering, helhedsløsninger, digitale tjenester og individuelle it-løsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere