Eksperter er enige: Derfor bør du helt droppe Java

Annonceindlæg fra QNAP

QNAP High Availability sikrer kontinuerlig storage-tjeneste og systemtilgængelighed

QNAP High Availability er nem at implementere og bruge – og omkostningseffektiv. Perfekt til mindre virksomheder og professionelle med små budgetter.

Læs også:

Din antivirus snorksover: Blokerer ikke for Java-trussel.

Java er under angreb.

Alvorlige sikkerhedshuller har den seneste tid udløst flere angreb og kritikken af Oracle, der står bag softwaren, tager til.

Eksperter i Sverige anbefaler nu ligefrem, at man begynder at se sig om efter et alternativ, skriver Computerworlds svenske søstermedie, Computersweden.

Java findes på utalige computere og mobile enheder, og Java og Flash angibes stadig hyppigere. Desuden findes Java på mange hardware-platforme. Det er kompleks kode, og det er med til at forværre problemet, mener eksperter.

30. august sendte Oracle en sikkerhedsopdatering på gaden udenfor det sædvanlige opdateringsskema. Den skulle lappe fire huller, der gør det muligt at fjernestyre de programmer, der kører på en brugers computer, uden først at skulle logge ind.

Sikkerhedshullet findes i Java-programmer, der afvikles i browsere, de såkaldte applets, og altså ikke i de fritstående Java-programmer på klient-pc'er eller servere.

I de tilfælde er det brugeren selv, der med administrationsrettigheder skal klikke ind på et websted, som indeholder skadelig kode, der udnytter sårbarhederne.

Skadelig Java-kode

Den skadelige Java-kode, der udnytter hullet, kan i princippet overtage kontrollen af en brugers computer og downloade anden skadelig kode, skade filer og i det hele taget true computerens integritet.

Hundreder af millioner bruger Java SE 7, den seneste grundversion af Java, og de risikerer ansgreb, hvoraf der allerede er forekommet en række.

Java-leverandøren Oracle får på puklen fra flere fronter. For det første påstås det, at Oracle har kendt til sikkerhedshullet siden april, fra den polske virksomhed Security Explorations.

Hvis det er sandt, har det altså taget Oracle fire måneder at udsende den patch, der skal lappe det.

For det andet har Security Explorations fundet nye sårbarheder i opdateringen fra 30. august.

For det tredje synes Oracle at være dårlig til at informere om sårbarhederne, og om hvad der skal gøres ved dem.

For det fjerde er Mac-brugerne endnu værre stillet end pc-brugerne, eftersom de ofte først får adgang til opdateringer flere uger eller måneder efter Windows-brugerne.

Hvad gør vi?

Og hvad skal vi så stille op med alt dette?

Jo, som absolut minimum bør man installere den patch, som Oracle sendte ud 30. august. Men er man stadig usikker, er den eneste mulighed at lade være med at bruge Java i sin browser.

Der er eksempler på virksomheder, der har lukket for muligheden for at køre Java på de ansattes computere. Men det er en utålelig situation for en it-chef, hvis hele virksomheden er afhængig af et Java-program, der kører i browseren.

Sikkerhedseksperter sætter spørgsmålstegn ved, om Java fortsat skal være platform for applikationsafvikling.

For de sikkerhedsbevidste virksomheder er det naturligt at identificere og lukke det svageste led i kæden, og hvis man oplever Java som netop det svageste led i kæden, så vil virksomhederne begynde at kigge på andre platforme, skriver Computersweden.

Nedslående læsning for Oracle

Læs også:

Din antivirus snorksover: Blokerer ikke for Java-trussel.

Computersweden har spurgt en række it-sikkerhedseksperter om, hvordan virksomheder og brugere skal forholde sig Java og Oracles sikkerhedsproblemer.

Det er nedslående læsning for Oracle.

Anne-Marie Eklund Löwinder, kvalitets- og sikkerhedschef, Stiftelsen for Internetinfrastruktur:

"Det her kan være meget alvorligt for alle brugere. Vi har slået Java fra. Problemerne opstår, fordi det er en så kompleks software, der er blevet har lappet og repareret på for længe."

"Personligt så jeg gerne, at man helt holdt op med at bruge Java. Desværre prioriterer softwarefirmaerne at komme hurtigt ud på markedet med produkter, i stedet for at bruge tid på sikkerhed."

Mikael Simovits, sikkerhedskonsulent, Simovits Consulting:

"Løsninger som Java og Flash er et problem, eftersom sikkerhedshuller får stor betydning. Jeg ser ingen speciel årsag til, at det bliver problem lige nu. Man kan spekulere i, at den måde, Java udvikles på, spiller en rolle, men der findes for lidt statistik til at kunne analysere det. Jeg tror mere på, at det er tilfældig, at hændelserne indtræffer lige nu."

Robert Malmgren, sikkerhedskonsulent, Romab:

"Det er et stort problem. Java findes på mange computere, og da leverandører af software til operativsystemer har oppet sig, rettes flere anreb mod Java og Flash."

"Desuden findes Java på mange hardwareplatforme og er alment komplekst. Læg dertil, at der findes et vist hovmod blandt Java-udviklere, som går ud fra, at Java er sikkert."

Per Hellqvist, sikkerhedsekspert, Symantec:

"Jo mere kompleks en software er, jo sværere bliver det at sikre den. Hvis man ikke har tillid til Java, er den endelige løsning at afinstallere det, men man kan ikke vende kappen efter vinden for hvert eneste sikkerhedshul. I sidste ende handler det om at træffe en bevidst forretningsbeslutning."

Tomas Djurling, sikkerhedskonsultent, Djurling Säkerhetsinformation:

"Det er et kæmpe problem, eftersom mange anvender Java. Problemet er, at det er en kompleks platform, der er vokset. Det er sandsynligvis andre udviklere. som arbejder med den i dag på Oracle, end da Java tillhørte Sun. De har nok ikke haft tid til at sætte sig ind i, hvordan den fungerer ordentligt."