Java tomcat veiligheid
Ik ben op het moment bezig met een webapplicatie die op java draait. Daarbij maak ik gebruik van java tomcat.
Maar door alle comotie de laatste tijd vraag ik me af of het veilig is om dit te doen. (Natuurlijk is niets 100% dicht maar alsnog)
Groetjes,
Kenny
Verreweg de meeste "Java kwetsbaarheden" hebben ermee te maken dat het sandboxmodel om untrusted code vanaf internet veilig binnen de webbrowser te kunnen uitvoeren defect is. De malware die je vandaag via telegraaf.nl geserveerd kreeg breekt uit die sandbox en kan dan net zoveel als een programma dat de gebruiker op de PC start.
Bij Java code uitgevoerd op de server (afkomstig van eigen schijf) hebben we het over trusted code (tenzij de programmeurs niet te vertrouwen zijn of je server is gecompromitteerd). Zie ook https://en.wikipedia.org/wiki/JavaServer_Pages, https://en.wikipedia.org/wiki/Java_Servlet en mijn reactie bovenaan http://www.security.nl/artikel/42973/1/%22Java_is_houdbaarheidsdatum_gepasseerd%22.html.
Overigens is een webapplicatie waarbij zowel Java code op de server als een applet op de client draait, best denkbaar (de applet kan dan bijv. met een servlet communiceren om bepaalde interactiviteit te bieden; zie bijv. http://stackoverflow.com/questions/6389947/java-applet-communicate-with-servlet-on-tomcat-server ). Als je zo'n model kiest voor doorsnee gebruikers (gamers?) loop je steeds meer kans dat gebruikers Java disabled hebben in hun webbrowser of geheel van hun systeem hebben gegooid.
Bruikbare informatie voor mij.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
