Názory k článku Děravá Java je široce zneužívána pro útoky

To snad ne, MySQL se samozrejme snazi pohrbit zaziva, Java je pro ne potencialni zlaty dul.

Díky, naštěstí to nemusím řešit, od KB už jsem dávno pryč.

Zaostalý a zakomplexovaný linuxář.. klasika.. Stydím se za nás.. Kdybys vylezl z tý svojí díry, možná bys zjistil, že existuje taky něco jinýho než Linux.. Pak by ses mohl možná nezaujatě podívat a porovnat.. Tohle tlachání zbytečně poukazuje na fanatizmus linuxářů a je mi to z duše líto..

Jistě. Hlavně primárně nepoužívá Javu do Oraclu, ale http://openjdk.java.net/ Prd tomu rozumím, co tam píšou o co vůbec jde, ale ať tak nebo tak na Linuxích webech nepíšou, že by se v tomto směru něco dělo.

Nema.

Je to porad nejlepsi jazyk na velky projekty. Podivejte se co se v ni pise - pouzivaji ji Google, Facebook, Twitter, Linkedin. Na velky projekty vas zajimaji jine featury nez na ty male. Kotlin by nebyl spatny ale nejspis se nikdy nerozsiri.

Twitter zacal prepisovat z Ruby do Javy a rika ze nova verze je 10x rychlejsi. (To je samozrejme zasluha nejen Javy ale redesignu). Rikaji ze v Ruby jejich kod uz prestal byt udrzovatelny.

Tak konkrétně. Mám v Ubuntu jenom jeden účet a píšou, že jsem správce. Takže škodník mi může číst klávesnici když se přihlašuju do banky a pak to někam odeslat?

Baszom teremtete. Ničemu se nedá věřit.

Priprava utoku je daleko slozitejsi, neni o nem dost informaci. Pro typicky buffer overflow utok je treba znat adresu na ktere se dany EXE/DLL nachazi v ramci virtualniho adresoveho prostoru. Diky DEP a ASLR je toto vyrazne tezsi az nemozne. Pokud nekdo DEP vypina (protoze nektere zprasene aplikace s nim nefunguji), tak je to obdoba toho pracovat trvale pod uctem administratora nebo nezamykat auto protoze "je to opruz". Pak neni pomoci ...

Ano, pokud mám práva uživatele (respektive přístup k jeho X serveru - tedy klidně můžu být pod jiným uživatelem nebo na jiném stroji spuštěný přes ssh -X), můžu si chytat eventy (stisky kláves), kreslit na obrazovku a posílat libovolné eventy ostatním X klientům.

K většině škodlivých činností, které chcete na desktopu dělat (krást data, posílat spam, vydírat uživatele (Česká republik policie)), admina/roota nepotřebujete.

Ale potrebujete, protoze pri spravnem nastaveni Software Restiction Policy (Windows XP SP1+) nespusite cokoli odjinud nez z ProgramFiles a Windows adresare (ani script), a pro zapis tam potrebujete vyssi prava.

Od kdy jsou uživatelé Linuxu milionáři, výrobci zbraní, že potřebují do banky lézt přes linku nejlépe červeného telefonu ?!? Podobně by se mohla kritizovat bezpečnost mobilních aplikací. Kdyby to bylo skutečně tak riskantní a děravý, nikdo by to nepoužíval a těch zneužitých a okradených by bylo mraky. A ani jedno jsem nezaznamenal - internetové bankovnictví už tu s námi pěknou řádku let je.

Ten vopruz u auta obnasi zabouchnuti dveri + maximalne zmacknuti cudliku na dalkaci. V pripade widli to pak znamena, ze na usera neustale vyskakujou hlaseni jestli chce to ci ono, ze to musi potvrdit, pripadne se prihlasit jako admin (hromada veci nefunguje ani s runas), coz znamena v naprosto nejlepsim pripade 1/2 hodiny casu ...

Nadto ve widlich ani admin neni admin ... a pokud chce clovek sestrelit nejakej bordel, musi hledat zpusob, jak ziskat local system account.

Konkretni priklad? Proc si kurva user nemuze pridat sitovou tiskarnu, na kterou ma navrch prava? ... ze se instalujou nejaky drivery ho prece vubec nezajima ...

Zajimavy, ja mam u toho pluginu jen upozorneni, ale aktivni zustal.

Souhlas. Ultimátní bezpečnost je hezká věc, ale když se pak několikrát ročně člověk nedovede dostat k bankovnictví, je to na nic. Kdysi jsem o javě a KB napsal u sebe na webu a teď podle návštěvnosti toho článku přesně vidím, kdy mají lidé problémy s přihlášením :-)

Jak přesně chrání "Unikátní certifikát, ověřovací sms při loginu"? Jediné účinné opatření z tohoto je ta SMS při zadávání platby (pokud obsahuje částku a číslo cílového účtu).

Jů, já už mám reverzní záznam! :-D

Zdravíčko všem,
díval jsem se teď na svoji verzi Javy a mám Java 6, i když je venku Java 7. Poslední verzi nemám nejspíš z důvodu předchozí bezpečnostní chyby, která se týkala Javy 7 a Java 6 byla v bezpečí. Původně jsem měl sice Javu 7, ale i když člověk dělá downgrade jen vyjímečně, tak jsem si ji odinstaloval a nainstaloval Javu 6 právě kvůli zmíněné dřívější bezpečnostní chybě, kterou nechal Oracle nezáplatovanou hodně hodně dlouho.

Zkusil jsem teď najít, jestli se aktuální chyba týká Javy 6 a není to tak. Opět se týká jen nejnovější Javy 7. Patch už je prý venku.

Zdroj, že je Java 6 v bezpečí: ZDNet
http://www.zdnet.com/apple-oracle-move-quickly-to-mitigate-java-security-flaw-7000009755/

Vážně? Ještě že na widlích nedělám :-) Tohle nastavení je podle mě použitelné opravdu jen pro nějaké cvičené opice, které si v práci vystačí s několika firmou povolenými aplikacemi.

Jen ta pachuť v puse zůstala a až se bude nějaká větší firma typu Komerční banka zamýšlet nad způsobem implementace svého řešení, bude volit Javu?!

Myslím si, že samotná KB z toho musí být poměrně zoufalá. Problémy s tím mají často. A komplet přepsat bankovnictví asi není úplně levná záležitost. Možná se toho měli chytit před půl rokem, místo toho redesignu, co provedli.

Ano, jako cvicena opice si na svem vlastnim pocitaci vystacim s nekolika aplikacemi :-)

Ještě by bylo potřeba, aby karta zobrazovala, co podepisuje - jinak si útočník může nechat podepsat, co chce.

Nevím, jak vypadá úložiště Windows, ale opravdu se nedá zařídit podpis vlastní transakce, když mám moc nad desktopovým prostředím?

Java 6 nebyla v bezpeci, proto se vydal urychlene update Version 6 Update 38 .... http://www.java.com/en/download/manual_v6.jsp

Omyl, update Version 6 Update 38 byl vydan dnes rano ! Asi k tomu meli nejaky duvod :-P

KB je funkcni bud s Version 6 Update 38 a nebo s Version 7 Update 11 - osobne dnes nekolikrat vyzkouseno - s IE 9 i s FF 18

@Michal

> Twitter zacal prepisovat z Ruby do Javy

Žádné přepisování, jen ladění, kde je nutné. Žádna Java, ale Scala. To stejné platí pro Google a LinkedIn. Velcí hráči se chrání před Oraclem.

Az na to, ze ten link vede na uplne jinou stranku tykajici se uplne neceho jinyho - drtiva vetsina lidi pouziva jre a ta vysla dnes. (Java SE stim ma spolecnyho jen hodne malo) ...

> Tohle tlachání zbytečně poukazuje na fanatizmus linuxářů a je mi to z duše líto..

To je v poho, nedelej si starosti, my to takhle mame radsi. Se srdecnym pozdravem smrt windows, pepik tux vomacka

PS mimochodem, java6 je prej ok, "The invokeWithArguments method was introduced with Java 7, so therefore Java 6 is not affected.", takze muj debian squeeze o tom problemu asi ani nevi.

Komerční banka podle informací jejich tech supportu již chystá verzi bez nutnosti použití Javy. Nezbývá než si počkat a těšit se :)

Alebo na ktorykolvek normalnejsi DB server, ze.

V cem je to zlaty dul ?

Je tak "moralne" zastarala, ze uz se musela najit skupina lidi, kteri se ji snazi nekam dal posunout http://www.zdrojak.cz/zpravicky/kotlin-java-alternativa-od-jetbrains/ kdyz toho nebyl schopen Sun ani Oracle.

Dejme tomu, že to tak je. Softu nerozumím, ale píšou, že přes tu díru se cosi nainstaluje. A jde to nainstalovat i do Linuxu aby to v něm fungovalo, když je to úplně jiný OS?

http://support.mozilla.org/cs/kb/blokovani-doplnku

V Linuxu to funguje úplně stejně, jmenuje se to SELinux/AppArmor.

Ještě, že na Linuxu nedělám :-) Tohle nastavení je podle mě použitelné opravdu jen pro nějaké cvičené opice, které si v práci vystačí s několika firmou povolenými aplikacemi.

A klienti Komerčky jsou s bankovnictvím zase v háji. I přesto na něm stále banka trvá - https://www.facebook.com/komercni.banka/posts/193006344177430

Tak si v prohlizeci nastavte, aby se vecne derava Java aktivovala jen pro domenu Komercni banky.

Jasně, proč ne. U MariaDB jde ale o přímou náhradu za MySQL. Zcela kompatibilní náhradu. Nebude muset přelejvat data, řešit úpravy aplikace.

To je pravda, Linux je naprosto bezpečný a třeba ani odkazovaná chyba v Javě se jej netýká! Počkat…

Až si zjistíš na čem jeli SMEP, SAPI, výrobky Zbrojovky Brno, pokud se jejich OS vůbec nějak jmenovaly, ručně psané OS, CP/M, a z novějších, o kterých bys mohl už něco od dědečka slyšet řekněme různé DOSy, OS/2 Warp, wokna 3.0 až do Visty, a včil Linux. Akorát jsem neokusil Jabko. A pán nezaostalý v díře porovnává s čím prosím???

Právě mi přišel od Oracle security alert s odkazem na patch.

Naprosto bezne ma.

To také může svědčit o tom, že vámi zmiňované společnosti se staly molochama, kde vládnou procesy a kravaty a jednoho dne přestěhují vývoj do exotické ciziny (aspoň některé) :-)

Java je pokus jak dovést softwarový průmysl na zcestí, který se podařil :-) Utratilo se v tom takoývh peněz a tolik velmi dobře placených odborníků je na tom zavislých, že nikdo neřekne, že vývoj v tomdle prostředí je špatný nebo aspoň ne úplně vhodný. Sekta zatím drží pohromadě.

Velký projekt se dá dělat v lecčem. Příslušná óbrkravata v korporaci co o tom rozhoduje slyší Java, většinou o tom prd ví, ale ví že kravaty nad ní co o tom vědí ještě větší prd když uslyší Java, tak jen souhlasně zamručí a nebudou se na nic moc ptát :-)

Co jsem viděl v praxi,tak firmy co potřebují efektivitu (protože např. strejdu investora už přestalo bavit sypat peníze) se Javě vyhýbají jako čert kříži.

Jsem zvědav, jak se tadle lapálie vyvine. Zda během pár hodin nějaký inženýr v Oracle pochopí problém, udělá patch a nebo budem muset dlouhé měsíce čekat, než doběhnou nějaké procesy a pracovní postupy v Oracle, jako se tomu stalo minule.

V takovém případě je čas přejít na MariaDB - http://www.root.cz/clanky/databaze-mariadb-valcuje-mysql/

Vy woknaři jste dobří šílenci lézt z woken do banky. Aspoň tu banku kdybyste dělali přes Linux. Pak zjistíte, že na web jedině přes Linux a ve finále už jenom Linux.