Security Tip van de Week: schakel Java uit
In de Security Tip van de week geeft elke week een andere professional, expert, onderzoeker of lezer een security tip. Persoonlijke tips, variërend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.
Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.
Deze week de tip van Rainer Baeder
Schakel Java uit
Beveiligingslekken in Java zijn één van de populairste manieren waardoor aanvallers toegang tot systemen krijgen. Je kunt eenvoudig firewalls omzeilen als je mensen zover weet te krijgen dat ze op links en bestanden klikken. Als er eenmaal toegang tot de computer is maak je vervolgens een tunnel van binnen naar buiten, iets wat de firewall vaak niet als verdacht beschouwt. Als je iets van buiten naar binnen stuurt zal de firewall dit niet toestaan, maar van binnen naar buiten is het zeer effectief, omdat het dan als legitiem verkeer wordt beschouwd.
Voor mij is het dan ook belangrijk bij het beveiligen van mijn computer om Java uit te schakelen en het alleen voor speciale doeleinden in te schakelen. Soms heb je een applicatie of iets als een conferentie-tool die een Java-applet gebruikt. Dan moet je Java wel inschakelen, maar als je dit soort toepassingen niet gebruikt is het belangrijk om Java uit te schakelen.
Zelf heb ik een script gemaakt om de Java add-on snel en eenvoudig binnen Firefox in en uit te schakelen, maar je kunt dit ook handmatig uitvoeren via Tools > Add-on > Plugins en dan kun je de relevante Java plug-ins uitschakelen.
Als ik bijvoorbeeld een conference call of websessie heb gehad, schakel ik hierna meteen Java uit. Daarnaast controleer ik ook regelmatig, zeg één keer per week, handmatig het Add-on menu om te kijken of ik het niet vergeten ben uit te schakelen of dat deze applicaties bijvoorbeeld zelf de plug-in hebben ingeschakeld.
Rainer Baeder is Manager Solution Consultant International van Fortinet.
Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.
En wie heeft er tegenwoordig nog Java op zijn computer staan.
Misschien kun je die plugin een timer meegeven zodat ie automatisch Java uitschakelt na een bepaalde tijd en alleen Java uitvoert vanaf een expliciet aangegeven web site. Verder is noscript ook een handige plugin om dat en meer te doen...
En wie heeft er tegenwoordig nog Java op zijn computer staan.
Nou, ik ken een ICT bedrijf die dat verplicht op de servers vanwege hun scripting wat ze gebruiken op de servers. Ik als eigenwijze beheerder heb deze rotzooi inclusief flash en adobe reader eraf geknald van alle servers. Alles werkt nog normaal. Zijn beheertools beweren ze. Beheren doe ik zelf wel.
Herschrijf jij even alle libraries die beschikbaar zijn voor Java?
Voorlopig bestaat nog geen volwassen alternatief voor Java.
(Cross-platform, many research suitable libraries, big community, etc.)
Bij firefox gewoon de pluging "NO-script" aanzetten en je kan zelf bepalen welk scriptje je laat draaien op een website.. tja helemaal gebruiksvriendelijk is het niet maar het voorkomt hoe dan ook een hoop ellende..
Overigens ben ik het wel eens met Whoops.. waarom moet Java weg.. natuurlijk zijn er veel lekken, maar er zijn overal lekken.. kijk alleen eens hoeveel security patches er al geweest zijn op windows 7.. dat zet je toch ook niet uit..
en oh nu niet beginnen over Linux of Apple want beide zijn net zo lek als elk ander OS alleen is er bij met name Linux nog niet zo een focus op, maar dat gaat nog wel komen..
Waarom? Zijn de alternatieven per definitie waterdicht?
Iedergeval minder lek.
Java is eigenlijk bedacht voor luie developers, 1x schrijven en op elk OS in een virtuele machine te gebruiken.
Java is aantrekkelijk voor kwaadwillenden omdat het op relatief veel computers draait.
Stel dat dezelfde hackers zich gaan richten op een ander dan worden waarschijnlijk net zoveel lekken gevonden...
Lui of efficient? Waarom iets driemaal ontwikkelen? Als het ook in één keer kan?
Herschrijf jij even alle libraries die beschikbaar zijn voor Java?
Voorlopig bestaat nog geen volwassen alternatief voor Java.
(Cross-platform, many research suitable libraries, big community, etc.)
Ruby en Python voldoen aan veel zo niet alle van deze eisen.
Een deel van de problemen komt juist door de bestaande libraries. Om de fouten daaruit te halen moet je soms zodanige veranderingen doorvoeren dat het interface kapot gaat. En dan doen ze het maar niet, want er zijn teveel afhankelijkheden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.