Læs også:
Kæmpe nul-dags-hul fundet i Java - din netbank i fare
Myndighed: Danskerne skal deaktivere Java nu
Nets trods kæmpe Java-hul: Brug NemID som normalt
Computerworld mener: Der mangler en sikkerheds-kalif i Danmark.
Sådan én, der kan banke i bordet og afgøre, hvad der er rigtigt og forkert. Én andre lytter til og retter sig efter. Altid.
Det er i hvert fald, hvad man kan ønske sig denne mandag, efter at et kæmpe 0-dags-hul i Java i fredags fik alle advarselslamper til at blinke.
Sikkerhedshullet i Javas JRE er opsigtvækkende af flere grunde.
Dels er Java at finde på milliarder af maskiner verden over, dels bruges Java til mange forskellige typer af applikationer - ikke mindst til NemID her i Danmark.
Derfor søger mange naturligvis et godt råd, når nu alarmklokkerne ringer.
Skal man deaktivere Java, eller er hullet ikke så kritisk, at det er nødvendigt?
I fredags fik man mange ord fra mange kloge folk. Men man blev ikke nødvendigvis meget klogere.
Sådan lød anbefalingerne
Sikkerhedsfirmaet CSIS Security Group kunne oplyse om et omfattende misbrug fra flere dedikerede og organiserede bander:
"... der systematisk anvender det friske hul til at plante ransomware, netbank- og informationstyve samt avancerede rootkits og downloadere, der kan installere falske sikkerhedssprodukter og anden uønsket software."
Det officielle danske sikkerhedscenter i Danmark, DK-CERT, gik direkte ud med en advarsel mod at bruge browsere med Java 7 aktiveret.
"I august så vi et lignende sikkerhedshul i Java, og vores anbefaling er denne gang, at borgerne skal deaktivere browserens Java-plugin," lød det fra DK-CERT.
Chef-sikkerhedskonsulent Thomas Wong fra Fortconsult anbefalede også, at offentlige myndigheder og virksomheder burde slå Java fra med det samme.
Samtidig erkendte han dog, at det kan være lettere sagt end gjort:
"Har de slået det fra? Det tvivler jeg på. De kan have interne systemer, som kræver Java-understøttelse, og spørgsmålet er, hvor meget de kunne arbejde uden Java," sagde han.
Nets: Kør bare videre
Og så kom leverandøren af NemID, Nets, på banen, og her lød anbefalingen pludselig:
"Vi anbefaler, at folk benytter Java, som de plejer."
For selvom Nets skam var bekendt med Java-hullet og havde læst sikkerhedseksperternes anbefalinger, var it-leverandøreren af en anden opfattelse:
"Vi mener dog ikke, at der er nogen grund til at gøre noget specielt som eksempelvis at afinstallere Java eller gøre andet på nuværende tidspunkt."
"Vi hører også, at man bør deaktivere Java eller benytte særskilte browsere, men det mener vi ikke er nødvendigt på nuværende tidspunkt."
Nu bliver forvirringen da total
Hvis der skulle sidde nogen derude bag computerskærmene med en mistanke om, at Nets som NemID-leverandør forsøgte at nedtone Java-dramatikken, så var der skam også andre, der ikke mente, at man skulle slå Java fra.
"Man skal udvise påpasselighed og installere opdateringer, når de kommer," lød udmeldingen fra GovCERT, som hører under Forsvarets Efterretningstjeneste og koncentrerer sig om cyber-angreb rettet mod myndigheder.
Kiggede man mod udlandet, blev forvirringen total, for blandt andre det svenske CERT og US Homeland Security mente nemlig, at man skulle slå Java fra.
Anbefalingerne var mange, og de gik ikke i samme retning.
