Security Tip van de Week: schakel Java uit
In de Security Tip van de week geeft elke week een andere professional, expert, onderzoeker of lezer een security tip. Persoonlijke tips, variërend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.
Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.
Deze week de tip van Rainer Baeder
Schakel Java uit
Beveiligingslekken in Java zijn één van de populairste manieren waardoor aanvallers toegang tot systemen krijgen. Je kunt eenvoudig firewalls omzeilen als je mensen zover weet te krijgen dat ze op links en bestanden klikken. Als er eenmaal toegang tot de computer is maak je vervolgens een tunnel van binnen naar buiten, iets wat de firewall vaak niet als verdacht beschouwt. Als je iets van buiten naar binnen stuurt zal de firewall dit niet toestaan, maar van binnen naar buiten is het zeer effectief, omdat het dan als legitiem verkeer wordt beschouwd.
Voor mij is het dan ook belangrijk bij het beveiligen van mijn computer om Java uit te schakelen en het alleen voor speciale doeleinden in te schakelen. Soms heb je een applicatie of iets als een conferentie-tool die een Java-applet gebruikt. Dan moet je Java wel inschakelen, maar als je dit soort toepassingen niet gebruikt is het belangrijk om Java uit te schakelen.
Zelf heb ik een script gemaakt om de Java add-on snel en eenvoudig binnen Firefox in en uit te schakelen, maar je kunt dit ook handmatig uitvoeren via Tools > Add-on > Plugins en dan kun je de relevante Java plug-ins uitschakelen.
Als ik bijvoorbeeld een conference call of websessie heb gehad, schakel ik hierna meteen Java uit. Daarnaast controleer ik ook regelmatig, zeg één keer per week, handmatig het Add-on menu om te kijken of ik het niet vergeten ben uit te schakelen of dat deze applicaties bijvoorbeeld zelf de plug-in hebben ingeschakeld.
Rainer Baeder is Manager Solution Consultant International van Fortinet.
Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.
En wie heeft er tegenwoordig nog Java op zijn computer staan.
Misschien kun je die plugin een timer meegeven zodat ie automatisch Java uitschakelt na een bepaalde tijd en alleen Java uitvoert vanaf een expliciet aangegeven web site. Verder is noscript ook een handige plugin om dat en meer te doen...
En wie heeft er tegenwoordig nog Java op zijn computer staan.
Nou, ik ken een ICT bedrijf die dat verplicht op de servers vanwege hun scripting wat ze gebruiken op de servers. Ik als eigenwijze beheerder heb deze rotzooi inclusief flash en adobe reader eraf geknald van alle servers. Alles werkt nog normaal. Zijn beheertools beweren ze. Beheren doe ik zelf wel.
Herschrijf jij even alle libraries die beschikbaar zijn voor Java?
Voorlopig bestaat nog geen volwassen alternatief voor Java.
(Cross-platform, many research suitable libraries, big community, etc.)
Bij firefox gewoon de pluging "NO-script" aanzetten en je kan zelf bepalen welk scriptje je laat draaien op een website.. tja helemaal gebruiksvriendelijk is het niet maar het voorkomt hoe dan ook een hoop ellende..
Overigens ben ik het wel eens met Whoops.. waarom moet Java weg.. natuurlijk zijn er veel lekken, maar er zijn overal lekken.. kijk alleen eens hoeveel security patches er al geweest zijn op windows 7.. dat zet je toch ook niet uit..
en oh nu niet beginnen over Linux of Apple want beide zijn net zo lek als elk ander OS alleen is er bij met name Linux nog niet zo een focus op, maar dat gaat nog wel komen..
Waarom? Zijn de alternatieven per definitie waterdicht?
Iedergeval minder lek.
Java is eigenlijk bedacht voor luie developers, 1x schrijven en op elk OS in een virtuele machine te gebruiken.
Java is aantrekkelijk voor kwaadwillenden omdat het op relatief veel computers draait.
Stel dat dezelfde hackers zich gaan richten op een ander dan worden waarschijnlijk net zoveel lekken gevonden...
Lui of efficient? Waarom iets driemaal ontwikkelen? Als het ook in één keer kan?
Herschrijf jij even alle libraries die beschikbaar zijn voor Java?
Voorlopig bestaat nog geen volwassen alternatief voor Java.
(Cross-platform, many research suitable libraries, big community, etc.)
Ruby en Python voldoen aan veel zo niet alle van deze eisen.
Een deel van de problemen komt juist door de bestaande libraries. Om de fouten daaruit te halen moet je soms zodanige veranderingen doorvoeren dat het interface kapot gaat. En dan doen ze het maar niet, want er zijn teveel afhankelijkheden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
