A Matéria do G1, está muito extensa, dei uma resumida.
Se quiser pode dar uma olhada no link, lá tem vários hiperlinks e a matéria bem mais completa!
Há muitos sites maliciosos explorando o plugin do Java –
Muitos desenvolvedores criticaram a coluna (G1) por usar uma informação da Microsoft dizendo que o plugin do Java é hoje o componente mais atacado em sites maliciosos da web. A Microsoft é desenvolvedora da tecnologia .Net que, em várias situações, concorre diretamente com o Java. Haveria, portanto, um conflito de interesse.
Os dados da Microsoft são parecidos com os de outras empresas. A Kaspersky Lab lançou estatísticas no início de agosto mostrando que o Java é o terceiro mais atacado, atrás do Internet Explorer e do Adobe Reader. A Kaspersky ainda adicionou que “códigos maliciosos em Java [applets] são a maneira mais fácil de burlar as proteções do sistema operacional”.
A Symantec, fabricante do antivírus Norton, fez observações semelhantes. O relatório de ameaças da empresa apontou que o kit de ataque mais comum (Phoenix) utiliza falhas no Java, Windows Media Player, Flash Player e Adobe Reader.
A empresa ainda observou especificamente que o Java está sendo alvo de ataques porque ele é
um “ponto atraente de entrada” para os criminosos devido à
inexistência dos recursos de segurança que os navegadores modernos
empregam, como mostra o gráfico acima. Além disso, como applets Java
são processados pelo software do Java Runtime Environment (JRE),
softwares de segurança têm dificuldades para analisá-los, dando ainda
outra vantagem para os criminosos
.
A Symantec comentou sobre a possibilidade de diferenças nessas estatísticas. Como os kits de códigos maliciosos exploram uma falha depois da outra, em sequência, e a ordem nem sempre é a mesma, podem haver diferenças no que é detectado como mais ou menos comum.
A Cisco, mais conhecida como fabricante de equipamentos de infraestrutura de internet e que tem o serviço de proteção ScanSafe, notou o uso cada vez mais comum de ataques ao Java pelos mesmos motivos dados pela Symantec.
Não existem estatísticas específicas para o Brasil. Mas, em geral, sites nacionais, quando invadidos por criminosos brasileiros, são alterados para incluir um applet Java. Não se costuma usar códigos maliciosos em Flash ou PDF.
Exemplos incluem o site do São Paulo FC, da empresa de bebidas Ambev e da operadora de telefonia Oi. A maneira que os criminosos brasileiros encontraram para disseminar o código malicioso, em todos esses casos e em muitos outros, foi um applet Java (o código já foi removido destes sites).
Recentemente, milhões de páginas foram alteradas para explorar uma falha no Internet Explorer, uma no Windows, outra no Adobe Reader e duas falhas no Java. (Quando o G1 publicou a reportagem, o número era 790 mil; esse número depois passou de um milhão).
Perda de função e a segurança
Leitores comentaram que desativar uma função não é aumentar a segurança e, sim, perder a funcionalidade. Pelo contrário: o procedimento básico para deixar qualquer sistema seguro é desativar aquilo que não se usa. Se um recurso não é necessário, deixa-lo ativado agrega riscos desnecessários, da mesma forma que instalar um software que não será utilizado apenas ocupa mais espaço no disco.
O argumento da coluna é de que a maioria das pessoas não verá perda de funcionalidade ao desativar o plugin do Java, ou seja, há apenas ganhos expressivos na segurança.
Java é amigável com o usuário?
Softwares desenvolvidos em Java (“a” linguagem de programação Java) podem ser amigáveis ao usuário. Porém, “o” Java – também chamado de Java Runtime Environment (JRE), o software responsável por processar os aplicativos em Java –, no Windows, tem problemas.
Um dos problemas – e esse é multiplataforma – é que applets assinados digitalmente, mesmo os com assinaturas inválidas, exibem ao internauta um aviso para executar o applet. Em um único clique nessa tela, que pula por cima do site, o internauta terá seu computador infectado. E ainda: o criminoso é que escolhe algumas informações que serão exibidas, como o nome do programa, entre outras, dando mais possibilidade para enganação (engenharia social).
O CERT da Universidade Carnegie Mellon
já apontou em 2008 os problemas de segurança com essa prática e
recomendou que usuários desativassem a execução de applets com
assinaturas inválidas.
O CERT fez inclusive a mesma comparação, traçando paralelos entre o Java de hoje e os ActiveX da Microsoft em 2004
FONTE: http://g1.globo.com/tecnologia/noticia/2011/08/entenda-por-que-desativar-o-plugin-do-java-ajuda-seguranca.html