Patche dla Javy powinien dostarczać Microsoft?

"Oracle powinien porozumieć się z Microsoftem i dostarczać aktualizacje dla Javy za pośrednictwem mechanizmu Windows Update" - twierdzi Wolfgang Kandek, szef działu technicznego firmy Qualys i ceniony specjalista ds. bezpieczeństwa. Jego zdaniem, to jedyny sposób na skuteczne łatanie Javy.
Kandek tłumaczy, że Oracle nie dysponuje obecnie żadnym prostym i skutecznym mechanizmem aktualizowania Javy - w większości przypadków użytkownik, który chce zainstalować nową wersję tego oprogramowania, musi sam zainicjować proces pobierania łat lub żmudnie szukać na stronie firmy odpowiednich plików instalacyjnych. "Rozwiązanie jest proste - należy zrezygnować ze stosowania wielu różnych, niekompatybilnych mechanizmów aktualizacyjnych. Oracle powinien porozumieć się z Microsoftem i dostarczać aktualizacje dla Javy za pośrednictwem Windows Update lub WSUS" - tłumaczy Kandek (WSUS to korporacyjna wersja systemu odpowiedzialnego za dystrybucję poprawek).

Przedstawiciel Qualys zwraca uwagę, że obecnie 8 na 10 komputerów PC z Windows ma zainstalowaną jakąś wersję Javy. To oznacza, że oprogramowanie to jest popularne w tym samym stopniu co np. Adobe Reader. Dane te pochodzą ze statystyk aplikacji BrowserCheck.

Ale to nie wszystko - z analiz Qualys wynika, że co najmniej a 40% komputerów z Javą nie jest zaktualizowane do najnowszej wersji i ma co najmniej jeden krytyczny błąd w zabezpieczeniach. To z kolei oznacza, że komputery z dziurawą Javą są najłatwiejszym celem dla internetowych przestępców - bo jest ich znacznie więcej niż np. maszyn z dziurawymi produktami Adobe (które też słyną z luk - ale użytkownicy częściej je aktualizują).

"Twórcy złośliwego oprogramowania przez cały czas szukają nowych sposobów na zaatakowanie komputerów PC. A ponieważ bezpieczeństwo systemów operacyjnych znacząco poprawiło się w ostatnich latach, to naturalnym jest, że przestępcy zaczęli szukać innych celów - zwykle są to popularne aplikacje zewnętrznych dostawców" - tłumaczy Kandek.

Jeszcze niedawno takimi celami były przede wszystkim programy Adobe Reader oraz Adobe Flash Player - przez ostatnie kilkanaście miesięcy to one były najczęściej atakowane. Ale Adobe w końcu wziął się za ich zabezpieczenie (niedługo ma pojawić się Reader wyposażony w tzw. sandbox), więc przestępcy znaleźli sobie inny cel - Javę.

W tym tygodniu raport na ten temat opublikował zresztą Microsoft - koncern poinformował, że od początku bieżącego roku odnotowano gwałtowne zwiększenie liczby ataków na Javę (z pół miliona w pierwszym kwartale do ponad sześciu w trzecim). Szerzej pisaliśmy o tym zjawisku w tekście "Microsoft: Liczba ataków na Javę rośnie lawinowo".

"Jeszcze kilka lat temu większość ataków skierowana była przeciwko aplikacjom z rodziny MS Office. Później przyszedł czas na produkty Adobe, a teraz obserwujemy rosnące zainteresowanie lukami w Javie. To oprogramowanie spełnia wszystkie wymogi cyberprzestępców - jest bardzo popularne, jest obecne na wielu platformach, a na dodatek ma wiele udokumentowanych luk w zabezpieczeniach i jest rzadko aktualizowane" - mówi Kandek.

Dlatego też przedstawiciel Qualys stwierdził, że dla dobra użytkowników Oracle powinien porozumieć się z Microsoftem i zacząć dystrybuować poprawki dla Javy za pośrednictwem systemu aktualizacyjnego koncernu z Redmond. "Zdaje sobie sprawę z tego, że nawiązanie takiej współpracy nie jest łatwe - ale to byłoby korzystne dla wszystkich, bo zaowocowałoby zwiększeniem bezpieczeństwa w Sieci" - podsumowuje specjalista.
Oryginalny tekst został opublikowany na www.idg.pl
Ocena:
Twoja ocena:

Komentarze (18)

~Jan

29-10-2010 15:06

Adobe, Sun itd powinni od dawna to robić za pomocą gotowych narzędzi Microsoft np. WSUS. Jak ma się klikaset komputerów, to właczyć komputer na administratora nawet tylko prze zdalny pulpit, to dużo czasu. A Adobe Reader to horror.

~gmak

25-10-2010 19:13

jest cała kategoria oprogramowania "patch management", która służy właśnie do instalowania w sposób kontrolowany (np. selektywny czy po przetestowaniu) aktualizacji zarówno Microsoft, firm trzecich i ew. specjalnie przygotowanych własnych w całych sieciach korporacyjnych

~Gość

24-10-2010 09:32

sprawę rozwiązano w Dystrybucjach Linux już dawno. Każda dystrybucja ma swój manager pakietów. Twórcy oprogramowania tworzą repozytoria dla danej dystrybucji. I tak jeśli pod moją fedorą chcę zainstalować Flasha od adobe to: 1 wchodzę na ich stronę patrzę aders repo 2 dodaje do swojego systemu 3 instaluje standardowym poleceniem yum install flash-plugin potem za każdym razem jak aktualizuje system a nowy flash jest w repo sam mi się aktualizuje

~ŁukaszMS

23-10-2010 12:20

U mnie java pojawia się do aktualizacji jak jest nowsza...:) Szkoda że Oracle jeszcze nie wymyśli pomysłu aby dziury łatał za nich MS. :D Mozilla też powinna do MS wystąpić tez z ofertą łatania dziur i aktualizacji w WindowsUpdate :D A moim zdaniem niech sami zrobią poprawne mechanizmy aktualizacji auto strart dla MSwin. :)

~Rob5

23-10-2010 11:47

To nonsens. Java domyślnie instaluje się z uruchomioną opcją automatycznych aktualizacji. Jeśli ktoś to wyłączy to mu się nie zaktualizuje, ale zakładam że ci którzy to wyłączają mają też wyłączone automatyczne aktualizacje windowsa. Po prostu są ludzie ktorzy lubią mieć kontrolę nad tym co i kiedy instalują/aktualizują. Ostatnio o javie i jej dziurach głośno więc jak wzrośnie świadomość zagrożeń to ludzie będą to częściej aktualizować i to jedyna droga aby tak się stało.

~n2

23-10-2010 10:52

Jeszcze bezpieczniej byłoby gdyby Oracle przyłożył się do Solarisa i wyparł M$ z przynajmniej ćwierci komputerów w korporacjach i urzędach.

~Gość

22-10-2010 20:48

Setka Tadziu ? Wymień 20 :P

~slepiec

22-10-2010 13:25

z tego co pamietam, na liscie koncepcji dla windows 8 bylo repozytorium programow. a co do ekranu wyboru przegladarki - nagrywalem ostatnio windows 7 w wersji testowej (na 90 dni) i tam nie bylo tego ekrany - chrome musialem pobrac sam przy pomocy IE8

~Gosć

22-10-2010 13:18

MS chcętnie by to zrobił i robi juz z ponad setką od paru lat, a byłyby tysiące gdyby nie opór pewnych lewych urzędników i firm mających się za ważniejsze i broniących swego dorobku jak niepodległości przed MS.

~Jay

22-10-2010 12:18

Niekoniecznie wina leży z niechęci MS. MS chętnie puszczałoby aplikacje przez swoje repozytorium ... z dodatkowym bonusem, o czym już przekonało się wielu użytkowników np. FX czy kilku innych aplikacji, gdy odkryto co zaserwował MS za friko jako "dodatek". Na co się oczywiście nie zgodzą producenci softu. Ciekawym czy podczas wyboru przeglądarki w win7, nie ładuje się wraz z nią bonusik. Nie będzie wygodnego i prostego rozwiązania dla platformy windows. Będzie to wymagało większej interwencji użytkownika niż tylko kliknąć ok w "nic nie znaczącym popupie". Takie rozwiązania tylko w OS-owych OS-ach :)

~Luke

22-10-2010 12:00

Dokładnie, każdy program na windzie aktualizuje się osobno.... trochę bez sensu. A porządne repozytorium załatwiłoby sprawę. I wydaje mi się, że tutaj niechęć jest raczej po stronie MS niż twórców oprogramowania.

~max

22-10-2010 11:14

Ten gość z newsa to jakiś kosmita. Jego twierdzenia są zupełnie odwrotne niż wskazuje logika. To nie Oracle powinien się dogadywać z Microsoftem żeby dopuścili JRE do Windows Update, tylko Microsoft powinien zbudować normalne repozytorium, które posiada informację o wszystkich programach, które użytkownik ma u siebie i aktualizuje je hurtem. Ten sposób działa w przypadku sto razy mniejszych vendorów niż Microsoft, zadziałałoby więc i u nich. Najwyższa pora skończyć z "klikalnym" modelem pielęgnacji zainstalowanego oprogramowania.

~Jay

22-10-2010 10:54

KDT: musisz w pewien sposób inicjalizować uruchamianie javy odpalając IE. O ile nie anulowałeś automatycznego uruchamiania java platfrom se updater teoretycznie jre powinno się aktualizować samo. Nic jednak bardziej błędnego bo działa to kapryśnie, a u mnie nawet wcale, pomimo działającego procesu w tle (żrącego znikome, ale jednak zasoby mojego PieCa). Gdybym czasem nie odpalał sprawdzania nowych wersji wtyczek w FX, to bym nawet nie wiedział że przez ostatni rok wyszły jakiekolwiek updejty do 6u18 (po niusie o prawie 5-letniej dziurze i przykładzie proof of concept już byłem bliski wywaleniu javy). Jak dla mnie to nie jest kwestia tego kto ma się zająć aktualizacją ZA UŻYTKOWNIKA. Takowego należy edukować, że krytyczne dla systemu aplikacje należy aktualizować. Staje się to coraz wygodniejsze poprzez autoaktualizacje, jednym kliknięciem w opcjach, bądź coraz częściej poprzez aplikacje firm trzecich które wymagają aplikacji firm trzecich i podczas sprawdzania kompatybilności wymuszają aktualizację. Dla co sprytniejszych i posiadających wyobraźnię istnieje kilka aplikacji służących do aktualizowania innych programów. Wystarczy chcieć. A chcieć to móc ;)

~Ja4

22-10-2010 09:22

A po co java ma krzyczeć o aktualizacje? Niech robi to samoczynnie bez przeszkadzania mi. Tak działa windows update, kochani.

~Gość

22-10-2010 09:15

silverlight to dopiero ''dziurawiec''

~Gość

22-10-2010 09:11

MS mógł by się porozumieć a dostawcami oprogramowania i zrobić jakąś konkurencję dla Linuksów. Tam Java czy cokolwiek innego jest po prostu aktualizowana. Skoro nie planują jakieś platformy dystrybucji aplikacji jak w OS X czy Linuksach to przynajmniej niech pomagają aktualizować jakoś oprogramowanie. Wszystko co trzeba zrobić to rozszerzyć usługę MS o oprogramowanie firmy trzecich.

~KDT

22-10-2010 08:50

Dziwnie gada ten gościu - mi javas krzyczy o nowych wersjach, o ile mam IE włączonego (on-line). Muszę jednak przyznać, że robi to chyba dopiero od tego roku, więc na pewno większość kompów może mieć przestarzałą i dziurawą jave, więc w sumie M$ mógłby dostarczyć jakiegoś updatera, żeby sam sobie resztę załatwił.

~LucasK

22-10-2010 08:47

Jeszcze chwila i M% sam będzie instalował komunikatory i nawiązywał za nas znajomości na facebooku

Polecane

PC World z prezentem!

Tak, zamawiam 12 wydań PC World po 14,09 zł każde (zamiast 19,90 zł) od numeru 6/2012.
Dodatkowo program Panda Antyvirus Pro 2012,
chroniący aż 3 komputery, dostanę za darmo.

PC World 6/2012
Nowy numer PC World 6/2011
Razem: 169


  • Z darmową wysyłką
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »