אורקל נשבעת אבטחת ג'אווה טובה יותר

לאור הפגיעויות האחרונות שנמצאו ב- Java וחששות מתמשכים לגבי האבטחה הכוללת של הטכנולוגיה, אורקל הבטיחה - שוב - שתתקן את הבעיות.

אורקל כבר ביצעה כמה שינויים בג'אווה והיא עובדת על יוזמות חדשות לשיפור האבטחה, כתב ננדיני ראמני, ראש פיתוח ג'אווה ב- Oracle, בפוסט בבלוג ביום שישי. לאחר סדרה של התקפות מבוססות-פרופיל ברשת, שכוונה לעובדים בכל ענפים שונים, התחייבה אורקה לטפל בסוגיות הבסיסיות בסביבת הפלטפורמות.

שניים מהשינויים המתוארים בפוסט של רמאני, כולל עדכונים למודל האבטחה של היישומון והתנהגות ברירת המחדל של תוסף ה- Java, כבר קיימים. שינויים אחרים, כגון האופן בו יישומי Java מטפלים בתעודות מבוטלות, יישום מדיניות אבטחה מקומית ליצירת כללים מותאמים אישית והגבלת ספריות הזמינות ליישומים בצד השרת, נמצאים כעת בפיתוח. רמני לא ציין מתי העדכונים הללו יהיו זמינים.

מה עם ארגז החול?

HD, מור, קצין המחקר הראשי של Rapid7 ויוצר מסגרת בדיקות החדירה של Metasploit, אמר "בסרטון שלם, דבר טוב עבור ג'אווה, אך השינויים הללו לא פותרים את הבעיה הבסיסית עם ארגז החול של ג'אווה". דוא"ל ל- SecurityWatch.

ארגז החול של Java הוא אזור מוגן בו יישומים מבוצעים, נפרדים מהמערכת הבסיסית. ארגז החול אמור לתפוס הפעלות זדוניות לפני שיוכלו להשתלט על המכונה או לחטוף תהליכי הפעלה. עם זאת, התוקפים ניצלו בהצלחה מספר פגיעויות כדי לעקוף את ארגז החול של Java.

"עד ש- Oracle מיישם ארגזי חול ברמת תהליכים, כמו זו שמשמשת את Adobe Reader ו- Google Chrome, יישומון זדוני עם חתימה חוקית עדיין יכול לעשות שימוש לרעה בפגמי אבטחה של JRE כדי להימלט מארגז החול ולהתפשר על המערכת, " אמר מור.

השינויים עד כה

אורקל עדכנה את מודל האבטחה לאחרונה כך שמשתמשים יכולים להריץ יישומי יישומים חתומים מבלי לתת הרשאות נוספות ולחסום את הפעלת יישומונים לא חתומים. המשמעות היא שרק חתימה על יישומון כבר לא נותנת אוטומטית לתוכנית את היכולת לפרוץ מארגז החול.

"זה דבר טוב לביטחון", אמר מור.

דבר טוב נוסף הוא העובדה כי הגדרות האבטחה של תוספי ברירת המחדל מונעות כעת הפעלת יישומונים לא חתומים או חתומים על עצמם. השינוי מאפשר כעת להוסיף לרשימת ההיתרים אתרי אינטרנט ספציפיים ולנהל באופן מרכזי את מדיניות האבטחה של ג'אווה בארגון, ציין מור.

ובקרוב...

נכון לעכשיו, Java תומכת הן ברשימות ביטול אישורים (CRL) והן בפרוטוקול סטטוס אישורים מקוונים (OCSP) כדי לאמת אם אישור חתום עדיין תקף. עם זאת, מכיוון שהבדיקה לא מתבצעת כברירת מחדל, גם אם בוטלה תעודה, התוקפים יוכלו להמשיך להשתמש בתעודה הלא טובה הזו. אורקל מתכננת עדכון שיאפשר בדיקה כברירת מחדל.

מדיניות האבטחה המקומית הקרובה מעניקה למנהלי מערכת שליטה נוספת על הגדרות המדיניות, כמו למשל לתת למנהלי מערכת להגדיר אילו מחשבים להריץ יישומי Java ואילו מחשבים לא יכולים.

למרות שכל הניסויים האחרונים של ג'אווה השפיעו על היישומונים הפועלים בדפדפן האינטרנט, אורקל בוחנת גם דרכים לוודא שיישומים בצד השרת יישארו מאובטחים, אמר רמאני. שינוי אחד הוא הסרת ספריות מסוימות שאינן נחוצות בצד השרת כדי לצמצם את שטח ההתקפה.

לוח זמנים חדש לעדכונים

אורקל מתכוונת גם לעדכן את ג'אווה בתדירות גבוהה יותר. כרגע Java מתעדכנת שלוש פעמים בשנה, בעקבות לוח זמנים לעדכונים נפרד מכל שאר מוצרי Oracle. עדכון התיקון הקריטי הרבעוני יתחיל לכלול תיקוני Java באוקטובר, אמר רמאני. אורקל עדיין תשחרר עדכוני חירום, "מחוץ ללהקה", במידת הצורך.

בהתחשב בעובדה שמעבד ה- CPU הוא כבר מאמץ עתיר זמן עבור מנהלי מערכת, הוספת Java לתערובת רק גורמת לעדכון גרגנטי עוד יותר. מצד שני זה אומר שמנהלי מערכת אינם צריכים לזכור את לוח הזמנים העדכני הנפרד של ג'אווה.