जावाची गडद बाजू

मला एक मजेशीर लेख सापडला आहे, स्रोत आहे डार्करेडिंग.कॉम आणि लेखक आहे केली जॅक्सन हिगिन्स. मी याचा अनुवाद सोडतो:

जावाची डार्क साइड

जेव्हा जावा सायबर गुन्हेगारांचे नवीन आवडते लक्ष्य बनते तेव्हा मेटास्प्लाइट नवीनतम जावा हल्ल्यांसाठी नवीन मॉड्यूल जोडते

01 डिसेंबर, 2011 | 08:08 दुपारी
केली जॅक्सन हिगिन्स यांनी
गडद वाचन
हे विकसकांच्या अधोगतीचे एक साधन आहे, परंतु जावा हे एक प्राथमिक आणि अद्याप वारंवार विसरलेल्या संगणकाची उपस्थिती आहे जी खलनायकाद्वारे वाढत्या लक्ष्यित आहे.
हल्ला वेक्टर म्हणून जावा का?

तिची प्रवेशशीलता आणि संगणकावर तेथे चालू असलेल्या कालबाह्य आवृत्त्यांची विपुल संख्या जावा हॅकर्सना निवडण्याची काळा टोपी बनवित आहे. संख्या हे सर्व सांगते: क्वेल्सच्या डेटानुसार, सुमारे 80 एंटरप्राइझ सिस्टीम जावाच्या कालबाह्य, अतुलनीय आवृत्ती चालवतात. २०१० च्या तिसर्‍या तिमाहीपासून मायक्रोसॉफ्टने १२ महिन्यांच्या कालावधीत अंदाजे २ 2010..6.9 दशलक्ष शोषण प्रयत्नांसह, प्रत्येक तिमाहीत अंदाजे 27.5..12 दशलक्ष जावांचे शोषण प्रयत्न शोधले किंवा अवरोधित केले आहेत.
एकूणच, जगात 3 अब्ज साधने जावा वापरतात आणि 80% ब्राउझर वापरतात. दरम्यान, काही अत्यंत सुरक्षिततेचे जाणकार वापरकर्ते खबरदारी म्हणून यास संपूर्णपणे अक्षम किंवा विस्थापित करीत आहेत.
या आठवड्यात व्यापकपणे लोकप्रिय ओपन सोर्स मॅटस्प्लोइट इन्ट्रिशन टेस्टिंग टूलच्या विकसकांनी ओरेकलच्या जावा अंमलबजावणी, गेंड्यात नुकत्याच झालेल्या पॅच असुरक्षाचा गैरवापर करणार्‍या नवीनतम जावा हल्ल्यासाठी नवीन मॉड्यूल जोडले. ओरॅकल जावा एसई जेडीके आणि जेआरई 7 आणि 6 अपडेट 27 आणि पूर्वीच्या आवृत्तीतील त्रुटी, जी सुरुवातीला संशोधकांनी जाहीर केली होती येथे y येथे ब्लॉगर ब्रायन क्रेब्सने शोधून काढले आणि म्हणूनच भूमिगत गुन्हेगारीच्या किटचा पटकन परिणाम झाला आपली वेबसाइट. क्रेब्स ऑन सिक्युरिटीने असा अहवाल दिला की हा हल्ला ब्लॅकहोल क्राइमवेअर किटमध्येही चालविला जात होता.
«जावा जिथे पाहिजे तेथे आहे आणि कोणीही ते योग्यरित्या अद्यतनित करत नाहीRap एचडी मूर म्हणतात, रॅपिड 7 येथील मेटास्प्लाइट आणि सीएसओसाठी निर्माता आणि मुख्य आर्किटेक्ट. «खूप कमी कंपन्या आपल्या संगणकावर हे अद्यतनित करतात.»
“ओरॅकल जावासाठी स्वयं-अद्यतन वैशिष्ट्य ऑफर करतो, परंतु संगणकाच्या वापरासाठी प्रशासकीय विशेषाधिकारांची आवश्यकता असते, ज्यास बहुतांश कंपन्या परवानगी देत ​​नाहीत."मूर म्हणतो.

मायक्रोसॉफ्टचे ट्रस्टेड कम्प्युटिंगचे संचालक टिम रॅन्स यांनी या आठवड्याच्या सुरूवातीला ओरेकलच्या जावा सॉफ्टवेअरमधील पॅग्ज बगवर कित्येक महिने वेढा घातला आहे. «ओरॅकलच्या जावा सॉफ्टवेअरमधील असुरक्षा वर बर्‍याच महिन्यांपासून तुलनेने मोठ्या प्रमाणात हल्ले होत आहेत आणि जसे मी नमूद केले आहे की या असुरक्षांसाठी सुरक्षा अद्यतने काही काळासाठी उपलब्ध आहेत.Rain म्हणतो पाऊस. «जर आपण अलीकडे आपल्या वातावरणात जावा अद्यतनित केला नसेल तर आपण उपस्थित जोखमींचे मूल्यांकन केले पाहिजे. इतर गोष्टींबरोबरच, संस्थांना हे जाणीव असणे आवश्यक आहे की त्यांच्याकडे जावा चालू असलेल्या अनेक आवृत्त्या असू शकतात.", तो म्हणतो.

ओरॅकलचा जावा दोष, मागील महिन्यात ओरॅकलने पॅच केला होता, मुळात जावा अ‍ॅपलेटला जावा सँडबॉक्सच्या बाहेर अनियंत्रित कोड चालविण्यास अनुमती देते. रॅपिड's चा मूर म्हणतो की तथाकथित जावा गेंडा शोषण (जे विंडोज, आयओएस आणि लिनक्ससह एकाधिक प्लॅटफॉर्मवर कार्य करते) पार्श्वभूमीवर उद्भवते आणि त्या शोषणाच्या वापरकर्त्याने बेशुद्ध केले. विशेष म्हणजे, लिनक्स आक्रमण करण्याच्या बाबतीत अधिक असुरक्षित आहे. «ओरॅकलने ते ठोकले आणि Appleपलने सॉफ्टवेअर अपडेटची मागणी केली. पण बहुतेक विक्रेते लिनक्स प्रदाते ?? अद्यतने आवश्यक नाहीत"मूर म्हणतो.
बहुधा एक्जीक्यूटेबल फाईल डाउनलोड करण्यासाठी किंवा बॉट स्थापित करुन मल्टी-स्टेज अटॅकमध्ये हा पहिला टप्पा म्हणून वापरला जातो.
क्वालिक्सचे सीटीओ वुल्फगँग कांडेक म्हणतात की नवीनतम शोषणास पाठिंबा देणारी टेनिअर मेटास्प्लाइट कालबाह्य जावा अ‍ॅप्सच्या धोक्याबद्दल जागरूकता वाढविण्यास मदत करेल. «मेटास्प्लोइटवर असण्याचे फायदे म्हणजे छान लोक हे [आक्रमण] कसे कार्य करतात हे दर्शवू शकतात", तो म्हणतो.
ते म्हणतात की क्वॉलिसच्या ग्राहक डेटावरील जावा अॅप्स चालणार्‍या बर्‍याच संस्थांमध्ये मोठ्या कंपन्या असल्याचे ते म्हणतात. «जावा पॅच करण्यासाठी चांगल्या प्रक्रिया न करण्याची प्रवृत्ती आहे. तो रडारखाली उडतो", तो म्हणतो.

---- आणि येथे लेख संपतो.

निःसंशयपणे, यापूर्वी आपण ज्याचा उल्लेख केला आहे त्याशी याचा बरेच काही आहे ... म्हणजे काय याबद्दल कॅनॉनिकल त्याच्या रिपॉझिटरीजमध्ये ओरॅकलकडून जावा ऑफर करणे थांबवेल (उबंटू, कुबंटू, जुबंटू, इ), अगदी स्पष्टपणे, होय ओरॅकल अद्यतनांचा समावेश करण्याची अनुमती देत ​​नाही, हे त्यास उपयुक्त नाही, कारण उपरोक्त केलेल्या हल्ल्यांसाठी वापरकर्ता खूपच असुरक्षित असेल.

असं असलं तरी, आपणास याबद्दल काय वाटते? 😉

कोट सह उत्तर द्या

PD: कालच मी माझ्या नोकिया एन 70 वर लिनक्स कसे स्थापित करणे शक्य आहे याबद्दलचे ट्यूटोरियल वाचत होतो, मी अद्याप एलओएल करण्याचा निर्णय घेतला नाही !!!