7

Em minha empresa, temos dois sites que necessitam de uma applet Java (para fazer autenticação utilizando certificados digitais). E esses dois sites dão muita dor de cabeça, principalmente, sempre que a Oracle libera uma atualização da JRE, que restringe mais os acessos de segurança, geralmente bloqueando as applets. Sem falar de plugin do Java sendo bloqueado por Chrome, Firefox, IE e etc.

Nossas applets hoje já estão adequadas às novas regras de segurança (assinadas digitalmente, com manifest informando quais sites podem executar a applet e etc.), porém pergunto :

  • Quais são os riscos que uma applet Java pode trazer ao usuário de um navegador?
  • E por que o plugin do JRE é bloqueado por padrão em tantos navegadores?

1 Resposta 1

6

A Matéria do G1, está muito extensa, dei uma resumida. Se quiser pode dar uma olhada no link, lá tem vários hiperlinks e a matéria bem mais completa!

Há muitos sites maliciosos explorando o plugin do Java

Muitos desenvolvedores criticaram a coluna (G1) por usar uma informação da Microsoft dizendo que o plugin do Java é hoje o componente mais atacado em sites maliciosos da web. A Microsoft é desenvolvedora da tecnologia .Net que, em várias situações, concorre diretamente com o Java. Haveria, portanto, um conflito de interesse.

Os dados da Microsoft são parecidos com os de outras empresas. A Kaspersky Lab lançou estatísticas no início de agosto mostrando que o Java é o terceiro mais atacado, atrás do Internet Explorer e do Adobe Reader. A Kaspersky ainda adicionou que “códigos maliciosos em Java [applets] são a maneira mais fácil de burlar as proteções do sistema operacional”.

A Symantec, fabricante do antivírus Norton, fez observações semelhantes. O relatório de ameaças da empresa apontou que o kit de ataque mais comum (Phoenix) utiliza falhas no Java, Windows Media Player, Flash Player e Adobe Reader.

A empresa ainda observou especificamente que o Java está sendo alvo de ataques porque ele é

um “ponto atraente de entrada” para os criminosos devido à inexistência dos recursos de segurança que os navegadores modernos empregam, como mostra o gráfico acima. Além disso, como applets Java são processados pelo software do Java Runtime Environment (JRE), softwares de segurança têm dificuldades para analisá-los, dando ainda outra vantagem para os criminosos

.

A Symantec comentou sobre a possibilidade de diferenças nessas estatísticas. Como os kits de códigos maliciosos exploram uma falha depois da outra, em sequência, e a ordem nem sempre é a mesma, podem haver diferenças no que é detectado como mais ou menos comum.

A Cisco, mais conhecida como fabricante de equipamentos de infraestrutura de internet e que tem o serviço de proteção ScanSafe, notou o uso cada vez mais comum de ataques ao Java pelos mesmos motivos dados pela Symantec.

Não existem estatísticas específicas para o Brasil. Mas, em geral, sites nacionais, quando invadidos por criminosos brasileiros, são alterados para incluir um applet Java. Não se costuma usar códigos maliciosos em Flash ou PDF.

Exemplos incluem o site do São Paulo FC, da empresa de bebidas Ambev e da operadora de telefonia Oi. A maneira que os criminosos brasileiros encontraram para disseminar o código malicioso, em todos esses casos e em muitos outros, foi um applet Java (o código já foi removido destes sites).

Recentemente, milhões de páginas foram alteradas para explorar uma falha no Internet Explorer, uma no Windows, outra no Adobe Reader e duas falhas no Java. (Quando o G1 publicou a reportagem, o número era 790 mil; esse número depois passou de um milhão).

Perda de função e a segurança

Leitores comentaram que desativar uma função não é aumentar a segurança e, sim, perder a funcionalidade. Pelo contrário: o procedimento básico para deixar qualquer sistema seguro é desativar aquilo que não se usa. Se um recurso não é necessário, deixa-lo ativado agrega riscos desnecessários, da mesma forma que instalar um software que não será utilizado apenas ocupa mais espaço no disco. O argumento da coluna é de que a maioria das pessoas não verá perda de funcionalidade ao desativar o plugin do Java, ou seja, há apenas ganhos expressivos na segurança.

Java é amigável com o usuário? Softwares desenvolvidos em Java (“a” linguagem de programação Java) podem ser amigáveis ao usuário. Porém, “o” Java – também chamado de Java Runtime Environment (JRE), o software responsável por processar os aplicativos em Java –, no Windows, tem problemas.

Um dos problemas – e esse é multiplataforma – é que applets assinados digitalmente, mesmo os com assinaturas inválidas, exibem ao internauta um aviso para executar o applet. Em um único clique nessa tela, que pula por cima do site, o internauta terá seu computador infectado. E ainda: o criminoso é que escolhe algumas informações que serão exibidas, como o nome do programa, entre outras, dando mais possibilidade para enganação (engenharia social).

O CERT da Universidade Carnegie Mellon

já apontou em 2008 os problemas de segurança com essa prática e recomendou que usuários desativassem a execução de applets com assinaturas inválidas.

O CERT fez inclusive a mesma comparação, traçando paralelos entre o Java de hoje e os ActiveX da Microsoft em 2004

FONTE: http://g1.globo.com/tecnologia/noticia/2011/08/entenda-por-que-desativar-o-plugin-do-java-ajuda-seguranca.html

3
  • 1
    Oi Rafael. Tudo bem que você colocou a fonte original da informação, mas a cópia do conteúdo do jeito que foi feita está bastante ruim, na minha opinião. Por exemplo, eu comecei a ler e me perguntei: "o que raios é essa tal da coluna?". Seria bom não simplesmente copiar o conteúdo, mas trabalhá-lo para que ele seja útil por aqui e para várias pessoas. Caso contrário, seria melhor você ter colocado o link do artigo como um comentário. P.S.: Vi que você "deu uma resumida" só quando cheguei no final da leitura. Talvez fique melhor se vc simplesmente colocar essa informação no começo da resposta. Commented 23/07/2014 às 15:50
  • Muito texto e pouca resposta! Ou a fonte e um resumo, ou apenas o texto original. Mas mesmo assim, valeu a resposta!
    – Cold
    Commented 23/07/2014 às 16:38
  • 2
    @LuizVieira obrigado pela dica, optei por não colocar somente o link, pois como dizem, se o link fica fora do ar, ainda teríamos um respaldo. Fiz como me orientou, coloquei a observação do resumo no começo da resposta e tentei realizar algumas alterações. Criticas construtivas são bastante bem vindas. Obrigado! Commented 23/07/2014 às 17:27

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .