꽤 흥미로운 기사를 발견했습니다. 출처는 다음과 같습니다. darkreading.com 그리고 저자는 켈리 잭슨 히긴스. 나는 당신에게 그것의 번역을 남깁니다:
자바의 어두운 면
Metasploit은 Java가 사이버 범죄의 새로운 표적이 됨에 따라 최신 Java 공격을 위한 새로운 모듈을 추가합니다.
01년 2011월 08일 | 오후 08시 XNUMX분
켈리 잭슨 히긴스
어두운 독서
개발자의 퇴폐적인 도구이지만 자바 점점 더 악당의 표적이 되는 컴퓨터에서 주요하고 여전히 자주 잊혀지는 존재로 남아 있습니다.
Java를 공격 벡터로 사용하는 이유는 무엇입니까?
Java의 침투성과 컴퓨터에 너무 많은 오래된 버전이 실행되고 있기 때문에 Java는 요즘 해커들이 선택하는 검은 모자가 되었습니다. 숫자가 모든 것을 말해 줍니다. Qualys 데이터에 따르면 약 80개의 엔터프라이즈 시스템이 패치되지 않은 오래된 버전의 Java를 실행하고 있습니다. 그리고 2010년 6.9분기부터 Microsoft는 매 분기마다 약 27.5만 건의 Java 악용 시도를 탐지하거나 차단했으며, 해당 12개월 동안 총 XNUMX만 건의 악용 시도가 발생했습니다.
전체적으로 전 세계적으로 3억 개의 장치가 Java를 사용하고 있으며 브라우저의 80%가 Java를 사용합니다. 그 동안 보안에 능숙한 일부 사용자는 예방 조치로 이 기능을 완전히 비활성화하거나 제거하고 있습니다.
널리 인기 있는 오픈 소스 Matasploit 침투 테스트 도구의 개발자는 이번 주 Oracle의 Rhino Java 구현에서 최근 패치된 취약점을 악용하는 최신 Java 공격에 대한 새 모듈을 추가했습니다. 연구원들이 처음 발표한 Oracle Java SE JDK와 JRE 7 및 6 업데이트 27 및 이전 버전의 결함 여기에 y 여기에 그리고 블로거 Brian Krebs가 발견한 것처럼 비밀 크라임웨어 키트로 빠르게 발전했습니다. 귀하의 웹 사이트. Krebs On Security는 이 공격이 BlackHole 크라임웨어 키트 내에서도 실행되고 있다고 보고했습니다.
«Java는 어디에나 있지만 제대로 업데이트하는 사람은 없습니다.Rapid7의 Metasploit 및 CSO 창시자이자 수석 설계자인 HD Moore는 말합니다. «컴퓨터에서 업데이트하는 회사는 거의 없습니다.»
"Oracle은 Java에 대한 자동 업데이트 기능을 제공하지만 이를 사용하려면 컴퓨터 사용자에 대한 관리자 권한이 필요합니다. 이는 대부분의 회사에서 허용하지 않는 것입니다."무어는 말한다.
Microsoft의 Trustworthy Computing 담당 이사인 Tim Rains는 이번 주 초 게시물에서 Oracle Java 소프트웨어의 패치된 버그가 몇 달 동안 포위당해 왔다고 언급했습니다. «오라클의 Java 소프트웨어에 존재하는 취약점은 최근 수개월간 비교적 대규모의 공격을 받아 왔으며, 앞서 언급한 바와 같이 이러한 취약점에 대한 보안 업데이트가 한동안 제공되어 왔습니다.레인스는 말한다. «최근 환경에서 Java를 업데이트하지 않은 경우 관련된 위험을 평가해야 합니다. 무엇보다도 조직에서는 여러 버전의 Java가 실행 중일 수 있다는 점을 인식해야 합니다.«그는 말합니다.
지난달 오라클이 패치한 오라클의 자바 결함은 기본적으로 자바 애플릿이 자바 샌드박스 외부에서 임의의 코드를 실행할 수 있도록 허용한다. Rapid7의 Moore는 소위 Java Rhino Exploit(Windows, iOS 및 Linux를 포함한 여러 플랫폼에서 작동)이 백그라운드에서 발생하며 사용자가 이 공격을 받는 것을 알지 못한다고 말합니다. 흥미롭게도 Linux는 현재 공격에 더 취약합니다. «Oracle은 이를 패치했고 Apple은 소프트웨어 수준 업데이트를 요구했습니다. 그러나 대부분의 판매자 Linux 공급업체...업데이트가 필요하지 않음무어는 말한다.
이는 일반적으로 실행 파일을 다운로드하거나 봇을 설치하는 데 사용되는 다단계 공격의 첫 번째 단계로 사용됩니다.
Qualyx의 CTO인 Wolfgang Kandek은 Metasploit이 최신 익스플로잇을 지원하면 오래된 Java 앱의 위험성에 대한 인식을 높이는 데 도움이 될 것이라고 말했습니다. «Metasploit에서 이를 사용하면 좋은 사람들이 이 [공격]이 어떻게 작동하는지 보여줄 수 있다는 이점이 있습니다."라고 그는 말합니다.
Qualys 고객 데이터에서 오래된 Java 앱을 실행하는 것으로 밝혀진 조직 중 다수는 대기업이었다고 그는 말합니다. «Java 패치를 위한 프로세스가 좋지 않은 경향이 있습니다. 그는 레이더 아래로 날아간다«그는 말합니다.
---- 그리고 여기서 기사가 끝납니다.
의심할 바 없이 이는 우리가 이전에 언급한 것과 많은 관련이 있습니다... 즉, Canonical은 리포지토리에서 Oracle의 Java 제공을 중단합니다. (Ubuntu, 쿠분투, Xubuntu, 등), 그렇다면 분명히 신탁 업데이트가 포함되는 것을 허용하지 않으며, 사용자가 위에서 언급한 것과 같은 공격에 너무 취약하기 때문에 그럴 가치가 없습니다.
마지막으로 이에 대해 어떻게 생각하시나요? 😉
안부
PD : 어제 저는 Nokia N70에 Linux를 설치하는 방법에 대한 튜토리얼을 읽었지만 아직 결정하지 않았습니다. ㅋㅋㅋ!!!
저는 한동안 IcedTea(OpenJDK, 무료)를 사용해왔는데 거의 사용하지 않아서 거의 항상 비활성화해 두었습니다.
저는 OpenJDK를 사용한 지 3개월 정도밖에 안 됐고, Java의 보안 결함을 정확히 알지 못했고, libreoffice가 어떻게 작동하는지 확인하기 위해 변경했습니다 😛
나는 이것이 거의 주제에서 벗어난다는 것을 알고 있지만… Nokia의 Linux? 처럼? 내 5800에서 Symbian m___을 제거할 수 있다면 기쁠 것입니다!
Symbian이 Linux의 사촌이라는 것을 알고 계셨습니까? 😀
어쨌든, 저는 아직 Nokia의 Linux에 대한 정보를 충분히 읽지 못했습니다... 걱정하지 마세요. 적절한 정보를 찾으면 링크를 제공해 드리겠습니다 😉
KZKG^Gaara… 화내지 마세요. 하지만… 번역에 몇 가지 오류가 있습니다. 예를 들면 다음과 같습니다.
1.-"…Java를 최근 검은 모자 해커의 선택으로 만들고 있습니다"는 ".. 최근에는 Java를 악의적인 해커의 선택으로 만들고 있습니다"로 되어야 합니다.
2.- 영어로 "Vendor"는 "Supplier"("Supplier")를 의미하므로 "그러나 대부분의 Linux 공급업체..."라는 문구는 "그러나 대부분의 Linux 공급업체..."에는 아무런 문제가 없습니다.
안부
아뇨 😀
정말 신경쓰이지 않습니다. 저는 전문 번역가도 아니고 하물며 ㅋㅋㅋ!!!
지금 당장 고치겠습니다 😉
정말 감사합니다. 영어를 이해하는 것은 저에게 어렵지 않습니다. 저에게 조금 복잡한 것은 스페인어로 쓰고 주문하는 것입니다 😀
안부
????
스페인어에서도 같은 일이 일어납니다. 현지 표현이 포함된 문장은 이해하기 어렵습니다. 비록 그것들이 이미 가장 적음에도 불구하고, 일부는 여전히 나를 벗어나고 있습니다.
'검은 모자 해커'는 악의적인 해커를 지칭할 때 사용하는 표현으로 스페인어로 번역하면 확실히 카모라(camorra)다.
인사와 강한 포옹
잘 모르겠지만 RAE 사전에는 "의식"이 나오지 않는 것으로 알고 있습니다.
우리는 또한 Tito Mark와 그의 부하들과 같은 Linux 공급업체를 보유하고 있습니다.
어디 보자... 내 노트북은 Made in China인데 품질 관리는 HP의 B 시리즈입니다. 즉... 구성 요소는 중국에서 제조되지만(저렴한 노동력...) 어떤 구성 요소가 충분히 좋은지 결정하는 사람은 제조업체입니다. 😉
"Oracle은 Java에 대한 자동 업데이트 기능을 제공하지만 이를 사용하려면 컴퓨터 사용자에 대한 관리자 권한이 필요합니다. 이는 대부분의 회사에서 허용하지 않는 것입니다."
“자바 패치를 위한 프로세스가 좋지 않은 경향이 있어요.”
그렇다면 문제는 Java가 아니라 사용자가 Java를 업데이트하는 습관이 없다는 것입니다. 그렇습니까?
솔직히 자바의 문제는 보안인데, 플래시와 비교해보면 자바가 20배나 더 안전하고, 문제는 끌리는 언어라는 점이다. 배우는 것은 섹시하지만 악몽이에요 ㅋㅋㅋ!
*그렇게 안전하지 않다*라고 말하고 싶었어요
Oracle에는 제한 사항이 있어 가능성이 주어지지 않는 경우가 많습니다.
저는 OpenJDK를 사용하고 있으며 지금까지는 불만이 없습니다 🙂
나는 Debian Squeeze에서 sun-java를 제거하고 기본값으로 돌아가려고 시도했지만 시작되었습니다... 결국 포기했습니다.
사실은 오래 전에는 Java가 좋은 대안이었는데 지금은 문제가 너무 많아요 🙁
멕시코의 종속성 중 하나는 SAT 및 IMSS로, 해당 포털에 들어갈 수 없는 경우 3년이 넘은 아주 오래된 버전을 사용해야 합니다.
나는 주로 관리 사용자와 일하며 그들은 아무것도 업데이트하지 않고 많은 정부 프로그램에 Java를 사용하며 주요 취약점을 포함하는 특정 버전이 반드시 필요합니다. 이는 멕시코의 IMSS 및 SAT와 같은 기관이 더 심각하게 고려해야 할 문제이기도 합니다. 귀하의 응용 프로그램을 유지하고 2004년 이전에 유사한 문제가 있는 소프트웨어를 계속 배포하지 마십시오.
글쎄, 나는 꽤 오랫동안 sun-java를 사용해 왔으며 사실 불만이 없으며 항상 원했던 결과를 얻었으며 심지어 기존의 것보다 조금 더 나은 결과를 얻었습니다. 개발용 openjdk는 누구에게나 추천하고 싶은 것은 아니지만 그것이 내 기준이라고 생각합니다. 인사말