Java negeert ingetrokken certificaten
Java-gebruikers die een melding voorgeschoteld krijgen dat een Java-applet van een betrouwbare partij afkomstig is kunnen hier niet op vertrouwen. Java-ontwikkelaars kunnen via een certificaat een Java-applet signeren. De gebruiker weet zo van wie het applet afkomstig is. Daarnaast worden gesigneerde applets standaard uitgevoerd. Bij alle ongesigneerde applets verschijnt een waarschuwing.
Onlangs werd er een kwaadaardig Java-applet ontdekt dat van een geldig certificaat was voorzien. De privésleutel voor het signeren van het applet was bij een Amerikaans consultancybedrijf gestolen. Het certificaat werd op 7 december door certificaatverstrekker Go Daddy ingetrokken.
Controle
Het probleem is dat Java niet standaard controleert of certificaten zijn ingetrokken en ze daardoor zonder waarschuwing gewoon uitvoert. Gebruikers kunnen dit wijzigen, maar moeten het wel zelf instellen.
"Samengevat, gesigneerde Java-apps zijn niet te vertrouwen als je niet de 'check revocation lists' inschakelt", aldus onderzoeker Eric Romang.
Je kunt dit in een file "%windir%\Sun\Java\Deployment\deployment.properties" zetten:
deployment.security.validation.crl=true
deployment.security.validation.ocsp=true
Je kunt dit in een file "%windir%\Sun\Java\Deployment\deployment.properties" zetten:
deployment.security.validation.crl=true
deployment.security.validation.ocsp=true
OCSP blijkt redelijk vaak niet te werken. Ik heb het in mijn browser aan staan, maar regelmatig krijg ik een waarschuwing dat er geen OCSP informatie verkregen kan worden. Een reload verhelpt het probleem gelukkig meestal wel.
Peter
Overigens bleek je (ik meen) OCSP voor de gek te kunnen houden door een nepservertje op te zetten dat simpelweg "3" antwoordt op alle vragen.
En hup, alweer blijkt een simpelheid het hele veiligheidskaartenhuis in te doen storten.
Helaas snapt de goegemeente dat niet echt.
Start / Configuratiescherm / Java / Security / Enable java content in the browser
Uitzetten, Apply en Ok. En klaar.
Als je Java niet nodig hebt voor Eclipse, Netbeans, OOo of iets dergelijks, dan mag je het natuurlijk best verwijderen. Waarom zou je tenslotte software geïnstalleerd hebben staan zonder enige noodzaak?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
