Noen spørsmål om java sårbarhetene

[Gjest medlem-82119]

Savner mer info om java sårbarhetene. Synes mesteparten i media har vært enten å avinstallere, slå av eller oppdatere. Håper derfor noen kan svare på følgende:

 

1 -Er man sårbar kun ved å ha java installert, eller må man være på en side som bruker java for å bli infisert?

 

2 -Holder det å slå av java i nettleserne, eller er man like sårbar så lenge man har java på maskinen?

 

3 -Java skal jo ha en sandbox som skal hindre slike angrep, fungerer ikke sandboxen?

 

4 -Er det noen antivirus, antimalware, anti ett-eller-annet som beskytter mot angrep via java?

 

5 -Sammenlignet med flash, shockwave, adobe air, verktøylinjer, vizky, silverlight og alt folk fyller opp nettleseren med av tillegg og funksjoner, hvor usikker er java i forhold til disse? Ville tro at en verktøylinje fra et freeware program, eller andre tillegg som vizky var mer sårbart men hører aldri noe om de...bortsett fra flash.

[Dr.Geek]

Savner mer info om java sårbarhetene. Synes mesteparten i media har vært enten å avinstallere, slå av eller oppdatere. Håper derfor noen kan svare på følgende:

 

1 -Er man sårbar kun ved å ha java installert, eller må man være på en side som bruker java for å bli infisert?

 

2 -Holder det å slå av java i nettleserne, eller er man like sårbar så lenge man har java på maskinen?

 

3 -Java skal jo ha en sandbox som skal hindre slike angrep, fungerer ikke sandboxen?

 

4 -Er det noen antivirus, antimalware, anti ett-eller-annet som beskytter mot angrep via java?

 

5 -Sammenlignet med flash, shockwave, adobe air, verktøylinjer, vizky, silverlight og alt folk fyller opp nettleseren med av tillegg og funksjoner, hvor usikker er java i forhold til disse? Ville tro at en verktøylinje fra et freeware program, eller andre tillegg som vizky var mer sårbart men hører aldri noe om de...bortsett fra flash.

 

1. Ja, hvis java er installert og aktivert i browsern så er du sårbar. Det fungerer sånn at en hvilken som helst side som inneholder malwarecode videresender deg til en exploitside som inneholder ofte opp til flere exploits. Java, Adobe, windows... hvis PCen din er sårbar for en av disse exploits blir PCen infisert med en såkalt payload: Malware.

 

2. Som sagt, gjennom å deaktivere java i browsern eller bruke et Ad-on som http://noscript.net/ er du ikke sårbar lenger.

 

3. Det er jo det som er problemet. Sandboxen har inneholdt flere sikkerhetshull som har gjort det mulig å "bypass" sandboxen: http://threatpost.co...ws-found-011813

 

4. Mot nye, ukjente exploits er de fleste Antivirus sjanseløse. Mot allerede kjente exploits beskytter et Antivirusprogram. Jeg anbefaler et program som: http://www.emsisoft....oftware/mamutu/ Den beskytter også mot ny, fullstendig ukjent malware gjennom "behavior blocker".

 

5. Java har hatt veldig mange sikkerhetshull i de siste årene. De største og mest kjente/brukte programmene som Java er mer utsatt, fordi det lønner seg for online kriminelle å finne sårbarheter og utnytte disse sårbarhetene.

 

Oracle har utgitt en del updates den 19.02:

https://blogs.oracle.com/security/entry/updated_february_2013_critical_patch

 

viktig å installere den nyeste versjonen av java.

Endret 22. februar 2013 av TheGenius

[Svenni212000]

Denne siden gir flere gode svar:

http://krebsonsecurity.com/2013/01/what-you-need-to-know-about-the-java-exploit/

 

Det finnes ikke direkte antivirusbeskyttelse mot dette. Eneste er et antivirusprogram som er god på slike Zero-day attacks og som har god beskyttelse mot skadelige nettsider. Per dags dato er BitDefender det beste antivirusprogrammet mot både Zero-day attacks og eldre virusangrep. Dt har også mer enn god beskyttelse mot skadelige nettsider. Nettlesere som Firefox og Chrome har også nå deaktivert automatisk kjøring av Java. Muligens du allerede har sett du må bekrefte for Java kjører når du skal eksempelvis i nettbanken eller på Norsk Tipping sine nettsider?

http://www.bitdefender.com/solutions/free.html

http://www.bitdefender.com/solutions/antivirus-comparison.html

https://blog.mozilla.org/security/2013/01/11/protecting-users-against-java-vulnerability/

 

Dette er av omtrent samme årsak så hvorfor det er mer virusangrep mot Window baserte PCer enn eksempelvis Apple og Linux. Det er ikke fordi Apple i seg selv er mer sikkert, det er fordi at Windows om du liker det eller ei er mer utbredt, Det er fler som bruker Windows sitt OS enn Apple sitt OS. Derfor er Windows mer utsatt for angrep, det samme gjelder også Java. Nå skal det dog sies at Adobe også er ganske store, så at det kommer et rent he*** for både oss forbrukere og Adobe skl man langt fra se bort fra. Adobe har jo til eksempel hatt problemer med sin Adobe Acrobat pdf leser for en liten stund tilbake. Dette sikkerhetshullet var det ikke så mye snakk om og muligens gjerne ikke like stor fare som de Java har stresset med i det siste. En av grunnene til dette er nok fordi at i motsetning til Java, så finnes det en håndfull alternativer til Adobe Acrobat, de fleste alternativene vil de fleste si også er bedre enn Adobe sin pdf leser.

[Gjest medlem-82119]

Man får jo veldig mange rare påstander fra mer elelr mindre kompetente journalister så greit å få dette avklart. Jeg trodde at man måtte bruke en javafunksjon på en nettside for å bli infisert, men det holder tydeligvis å kun ha java på maskinen og påslått i nettleseren.

 

Hvordan er det med java på telefoner og andre dingser?

 

Det er jo også hele nettlesere som er skrevet i java:

http://lobobrowser.org/java-browser.jsp

og de kan vel ikke uten videre deaktivere java, da det deaktiverer nettleseren.

 

Ser forøvrig omtalen:

 

Why a Pure Java Browser?

There are a number of advantages to be derived from a browser that is written in Java as opposed to a language compiled into native code, namely: Security.- In principle, a Java program is less suceptible to certain types of vulnerabilities such as a buffer overflow attack. Java's security model can also allow web content to have access to a complex set of APIs, except in a controlled sandbox.

 

Her blir det jo argumentert at man bør velge java pga sikkerheten og det påstås at sandboxen er tett.

 

http://www.forskning.no/artikler/2012/september/332700

 

Nå vil norske forskere sørge for at dataene blir lagret og sendt på en sikker måte.

Programvaren er gratis og er laget for mobiltelefoner som kan kjøre Java-applikasjoner

 

Selv i slutten av 2012 utvikles det tjenester basert på java, med fokus på sikkerhet..

[Dr.Geek]

Det er jo også hele nettlesere som er skrevet i java:

http://lobobrowser.o...ava-browser.jsp

og de kan vel ikke uten videre deaktivere java, da det deaktiverer nettleseren.

 

Ser forøvrig omtalen:

 

Why a Pure Java Browser?

There are a number of advantages to be derived from a browser that is written in Java as opposed to a language compiled into native code, namely: Security.- In principle, a Java program is less suceptible to certain types of vulnerabilities such as a buffer overflow attack. Java's security model can also allow web content to have access to a complex set of APIs, except in a controlled sandbox.

 

Her blir det jo argumentert at man bør velge java pga sikkerheten og det påstås at sandboxen er tett.

 

 

 

Vet ikke hvor du har denne linken fra, men her må jeg stoppe deg litt.

 

Java er et programmeringsspråk. At denne browsern, som du linker til, er en java browser betyr ikke noe annet at den er skrevet i programmeringsspråket java. Den har ingenting med Java Runtime Environment å gjøre som er en software: Java fra Oracle.

 

Vet du hva "open source" betyr? http://en.wikipedia....ki/Open_source. Sånne programmer er sjeldent veldig sikre, brukervennlig og gjennomarbeidet. Hold deg til Firefox eller Chrome, du.

 

Ser at Hardware. forum no har puplisert en interessant guide om kvitte seg helt med java:

http://www.hardware....for-godt/117098

Endret 23. februar 2013 av TheGenius

[Q&A]

 

Ser at Hardware. forum no har puplisert en interessant guide om kvitte seg helt med java:

http://www.hardware....for-godt/117098

 

Stusset litt på denne:

 

 

Vi anbefaler ikke å avinstallere det, man bare gjøre det inaktivt. Om du i fremtiden faktisk skulle få behov for Java, kan du da enkelt bare aktivere det igjen – uten å gå den tunge veien om en ny installasjonsprosess.

 

La oss si at du får bruk for Java om et halvt år og reaktiverer den. da sitter du plutselig med en Java som sannsynligvis er full av (kjente) hull. Best å installere Java når man trenger det, slik at man i det minste har ferskvare.

Selv har jeg fjernet java for noen måneder siden. I nettbanken bruker jeg kontofonkode, og jeg har ennå ikke måttet bruke BankID på netthandel. (Hvis det skjer, så skal jeg endelig installere Java men deaktivere den i hovednettleseren.)

 

BankID Mobil som blir anbefalt i artikkelen er heller ikke verdens beste tjeneste. Mange folk får problemer med å opprette tjenesten, Vanligvis er det ett eller annet med mobilen eller simkortet som skaper problemer.

[Gjest medlem-82119]

Java brukes jo til mer enn nettbanken, mange sider har java funksjonalitet:

 

http://www.utnehotel.no/

Du trenger Java for å se visningen

 

Buypass sider (tipping, lånekassen osv)

 

altinn

 

http://www.meforum.info/viewtopic.php?f=4&t=11640&start=12

Skatteetatens applikasjon for enkel skatteberegning (krever Java)

 

Selv libreoffice: http://www.libreoffice.org/download/system-requirements/

For certain features of the software - but not most - Java is required. Java is notably required for Base.

 

De som holder seg til openoffice: http://www.openoffice.org/download/common/java.html

Java is required for complete OpenOffice (OpenOffice.org) functionality.

 

BankID krever java

 

Det er også masse spill som krever java:

http://www.1001spill.no/java

http://www.123spill.no/

 

Barnespill: http://www.energispillet.no/about_java.php

Denne versjonen av Energispillet krever Java v1.6 installert på din maskin.

 

Masse annet, som http://www.norgei3d.no/

Den Virtuelle Globusen krever at du har Java 1.5 eller bedre installert på din datamaskin

 

Møter javakrav ganske ofte på masse nettsider, og masse programmer krever java.

[Q&A]

Det eneste utenom BankID som har krevd Java av meg var da jeg installerte OpenOffice. Men jeg mener jeg fjernet den og fortsatte å bruke OpenOffice.

(Nå har jeg nyinstallasjon av Windows så jeg har ikke kommet så langt ennå)

 

Forresten, hvis du bruker Firefox kan du bruke QuickJava for å slå på Java akkurat når du trenger det,

Endret 26. februar 2013 av Quevaal

[Gjest medlem-82119]

Joda. Mente bare at oppfordringen om å fjerne java også medfører at mange ikke får brukt endel nettfunksjoner, men er du ikke inne på de sidene elelr du ikke bruker programmer som krever java kan du selvsagt fjerne det.

[Gjest medlem-82119]

Om bank-id: https://www.bankid.no/Hjelp-og-nyttige-verktoy/Kan-BankID-brukes-fra-alle-datamaskiner/

Støtte for BankID bestemmes av flere parametere, blant annet: operativsystem, nettleser (browser) og nettleserens støtte for Java og Java-versjon.

 

e-boks: http://www.e-boks.no/

Opprettelse og pålogging skjer ved hjelp av BankID.

 

https://www.digipost.no/

bruker også bank-id.

 

nvidia smart scan, offentlige tjenester som klp

https://www.klp.no/person/bank/omminside/hjelp-til-a-logge-inn

 

http://www.satellitter.no/index.php/Kommunikasjon

 

Det er mange sider som krever java, selv digipost.