Patche dla Javy powinien dostarczać Microsoft?
Przedstawiciel Qualys zwraca uwagę, że obecnie 8 na 10 komputerów PC z Windows ma zainstalowaną jakąś wersję Javy. To oznacza, że oprogramowanie to jest popularne w tym samym stopniu co np. Adobe Reader. Dane te pochodzą ze statystyk aplikacji BrowserCheck.
Ale to nie wszystko - z analiz Qualys wynika, że co najmniej a 40% komputerów z Javą nie jest zaktualizowane do najnowszej wersji i ma co najmniej jeden krytyczny błąd w zabezpieczeniach. To z kolei oznacza, że komputery z dziurawą Javą są najłatwiejszym celem dla internetowych przestępców - bo jest ich znacznie więcej niż np. maszyn z dziurawymi produktami Adobe (które też słyną z luk - ale użytkownicy częściej je aktualizują).
"Twórcy złośliwego oprogramowania przez cały czas szukają nowych sposobów na zaatakowanie komputerów PC. A ponieważ bezpieczeństwo systemów operacyjnych znacząco poprawiło się w ostatnich latach, to naturalnym jest, że przestępcy zaczęli szukać innych celów - zwykle są to popularne aplikacje zewnętrznych dostawców" - tłumaczy Kandek.
Jeszcze niedawno takimi celami były przede wszystkim programy Adobe Reader oraz Adobe Flash Player - przez ostatnie kilkanaście miesięcy to one były najczęściej atakowane. Ale Adobe w końcu wziął się za ich zabezpieczenie (niedługo ma pojawić się Reader wyposażony w tzw. sandbox), więc przestępcy znaleźli sobie inny cel - Javę.
W tym tygodniu raport na ten temat opublikował zresztą Microsoft - koncern poinformował, że od początku bieżącego roku odnotowano gwałtowne zwiększenie liczby ataków na Javę (z pół miliona w pierwszym kwartale do ponad sześciu w trzecim). Szerzej pisaliśmy o tym zjawisku w tekście "Microsoft: Liczba ataków na Javę rośnie lawinowo".
"Jeszcze kilka lat temu większość ataków skierowana była przeciwko aplikacjom z rodziny MS Office. Później przyszedł czas na produkty Adobe, a teraz obserwujemy rosnące zainteresowanie lukami w Javie. To oprogramowanie spełnia wszystkie wymogi cyberprzestępców - jest bardzo popularne, jest obecne na wielu platformach, a na dodatek ma wiele udokumentowanych luk w zabezpieczeniach i jest rzadko aktualizowane" - mówi Kandek.
Dlatego też przedstawiciel Qualys stwierdził, że dla dobra użytkowników Oracle powinien porozumieć się z Microsoftem i zacząć dystrybuować poprawki dla Javy za pośrednictwem systemu aktualizacyjnego koncernu z Redmond. "Zdaje sobie sprawę z tego, że nawiązanie takiej współpracy nie jest łatwe - ale to byłoby korzystne dla wszystkich, bo zaowocowałoby zwiększeniem bezpieczeństwa w Sieci" - podsumowuje specjalista.
- ~LucasK
- 2010-10-22 08:47:53
Jeszcze chwila i M% sam będzie instalował komunikatory i nawiązywał za nas znajomości na facebooku
- ~KDT
- 2010-10-22 08:50:02
Dziwnie gada ten gościu - mi javas krzyczy o nowych wersjach, o ile mam IE włączonego (on-line). Muszę jednak przyznać, że robi to chyba dopiero od tego roku, więc na pewno większość kompów może mieć przestarzałą i dziurawą jave, więc w sumie M$ mógłby dostarczyć jakiegoś updatera, żeby sam sobie resztę załatwił.
- ~gość
- 2010-10-22 09:11:58
MS mógł by się porozumieć a dostawcami oprogramowania i zrobić jakąś konkurencję dla Linuksów. Tam Java czy cokolwiek innego jest po prostu aktualizowana. Skoro nie planują jakieś platformy dystrybucji aplikacji jak w OS X czy Linuksach to przynajmniej niech pomagają aktualizować jakoś oprogramowanie. Wszystko co trzeba zrobić to rozszerzyć usługę MS o oprogramowanie firmy trzecich.
- ~gość
- 2010-10-22 09:15:31
silverlight to dopiero ''dziurawiec''
- ~Ja4
- 2010-10-22 09:22:10
A po co java ma krzyczeć o aktualizacje? Niech robi to samoczynnie bez przeszkadzania mi. Tak działa windows update, kochani.
- ~Jay
- 2010-10-22 10:54:54
KDT: musisz w pewien sposób inicjalizować uruchamianie javy odpalając IE. O ile nie anulowałeś automatycznego uruchamiania java platfrom se updater teoretycznie jre powinno się aktualizować samo. Nic jednak bardziej błędnego bo działa to kapryśnie, a u mnie nawet wcale, pomimo działającego procesu w tle (żrącego znikome, ale jednak zasoby mojego PieCa). Gdybym czasem nie odpalał sprawdzania nowych wersji wtyczek w FX, to bym nawet nie wiedział że przez ostatni rok wyszły jakiekolwiek updejty do 6u18 (po niusie o prawie 5-letniej dziurze i przykładzie proof of concept już byłem bliski wywaleniu javy). Jak dla mnie to nie jest kwestia tego kto ma się zająć aktualizacją ZA UŻYTKOWNIKA. Takowego należy edukować, że krytyczne dla systemu aplikacje należy aktualizować. Staje się to coraz wygodniejsze poprzez autoaktualizacje, jednym kliknięciem w opcjach, bądź coraz częściej poprzez aplikacje firm trzecich które wymagają aplikacji firm trzecich i podczas sprawdzania kompatybilności wymuszają aktualizację. Dla co sprytniejszych i posiadających wyobraźnię istnieje kilka aplikacji służących do aktualizowania innych programów. Wystarczy chcieć. A chcieć to móc ;)
- ~max
- 2010-10-22 11:14:11
Ten gość z newsa to jakiś kosmita. Jego twierdzenia są zupełnie odwrotne niż wskazuje logika. To nie Oracle powinien się dogadywać z Microsoftem żeby dopuścili JRE do Windows Update, tylko Microsoft powinien zbudować normalne repozytorium, które posiada informację o wszystkich programach, które użytkownik ma u siebie i aktualizuje je hurtem. Ten sposób działa w przypadku sto razy mniejszych vendorów niż Microsoft, zadziałałoby więc i u nich. Najwyższa pora skończyć z "klikalnym" modelem pielęgnacji zainstalowanego oprogramowania.
- ~Luke
- 2010-10-22 12:00:51
Dokładnie, każdy program na windzie aktualizuje się osobno.... trochę bez sensu. A porządne repozytorium załatwiłoby sprawę. I wydaje mi się, że tutaj niechęć jest raczej po stronie MS niż twórców oprogramowania.
- ~Jay
- 2010-10-22 12:18:20
Niekoniecznie wina leży z niechęci MS. MS chętnie puszczałoby aplikacje przez swoje repozytorium ... z dodatkowym bonusem, o czym już przekonało się wielu użytkowników np. FX czy kilku innych aplikacji, gdy odkryto co zaserwował MS za friko jako "dodatek". Na co się oczywiście nie zgodzą producenci softu. Ciekawym czy podczas wyboru przeglądarki w win7, nie ładuje się wraz z nią bonusik. Nie będzie wygodnego i prostego rozwiązania dla platformy windows. Będzie to wymagało większej interwencji użytkownika niż tylko kliknąć ok w "nic nie znaczącym popupie". Takie rozwiązania tylko w OS-owych OS-ach :)
- ~Gosć
- 2010-10-22 13:18:14
MS chcętnie by to zrobił i robi juz z ponad setką od paru lat, a byłyby tysiące gdyby nie opór pewnych lewych urzędników i firm mających się za ważniejsze i broniących swego dorobku jak niepodległości przed MS.
- ~slepiec
- 2010-10-22 13:25:11
z tego co pamietam, na liscie koncepcji dla windows 8 bylo repozytorium programow. a co do ekranu wyboru przegladarki - nagrywalem ostatnio windows 7 w wersji testowej (na 90 dni) i tam nie bylo tego ekrany - chrome musialem pobrac sam przy pomocy IE8
- ~gość
- 2010-10-22 20:48:06
Setka Tadziu ? Wymień 20 :P
- ~n2
- 2010-10-23 10:52:00
Jeszcze bezpieczniej byłoby gdyby Oracle przyłożył się do Solarisa i wyparł M$ z przynajmniej ćwierci komputerów w korporacjach i urzędach.
- ~Rob5
- 2010-10-23 11:47:25
To nonsens. Java domyślnie instaluje się z uruchomioną opcją automatycznych aktualizacji. Jeśli ktoś to wyłączy to mu się nie zaktualizuje, ale zakładam że ci którzy to wyłączają mają też wyłączone automatyczne aktualizacje windowsa. Po prostu są ludzie ktorzy lubią mieć kontrolę nad tym co i kiedy instalują/aktualizują. Ostatnio o javie i jej dziurach głośno więc jak wzrośnie świadomość zagrożeń to ludzie będą to częściej aktualizować i to jedyna droga aby tak się stało.
- ~ŁukaszMS
- 2010-10-23 12:20:25
U mnie java pojawia się do aktualizacji jak jest nowsza...:) Szkoda że Oracle jeszcze nie wymyśli pomysłu aby dziury łatał za nich MS. :D Mozilla też powinna do MS wystąpić tez z ofertą łatania dziur i aktualizacji w WindowsUpdate :D A moim zdaniem niech sami zrobią poprawne mechanizmy aktualizacji auto strart dla MSwin. :)
- ~gość
- 2010-10-24 09:32:54
sprawę rozwiązano w Dystrybucjach Linux już dawno. Każda dystrybucja ma swój manager pakietów. Twórcy oprogramowania tworzą repozytoria dla danej dystrybucji. I tak jeśli pod moją fedorą chcę zainstalować Flasha od adobe to: 1 wchodzę na ich stronę patrzę aders repo 2 dodaje do swojego systemu 3 instaluje standardowym poleceniem yum install flash-plugin potem za każdym razem jak aktualizuje system a nowy flash jest w repo sam mi się aktualizuje
- ~gmak
- 2010-10-25 19:13:36
jest cała kategoria oprogramowania "patch management", która służy właśnie do instalowania w sposób kontrolowany (np. selektywny czy po przetestowaniu) aktualizacji zarówno Microsoft, firm trzecich i ew. specjalnie przygotowanych własnych w całych sieciach korporacyjnych
- ~Jan
- 2010-10-29 15:06:32
Adobe, Sun itd powinni od dawna to robić za pomocą gotowych narzędzi Microsoft np. WSUS. Jak ma się klikaset komputerów, to właczyć komputer na administratora nawet tylko prze zdalny pulpit, to dużo czasu. A Adobe Reader to horror.
Bezpieczna dieta wysokobiałkowa
MĘŻCZYŹNI WOLĄ KRĄGŁOŚCI
Pobierz bezpłatnego e-booka 


