Mikähän helvetin hinku porukalla on yks kaks alkaa poistella jotain Javaa JUST NYT? Vetoavat johonkin tietoturvareikään joita on käytännössä lähes joka ohjelmassa.
Oletteko nyt saman tien muistaneet poistaa Skypen, VLC Playerin, Windows Live Messengerin, IE9:n, Firefoxin, LibreOfficen, MS Officen, Windowsin, Ubuntun, Red Hat Enterprisen, F-Securen, Adobe Readerin, Foxit Readerin, Adobe Flash Playerin, Spotifyn yms. tietoturvareikäiset ohjelmat?
Jostain syystä hölmöläisiltä on päässyt unohtumaan se, että käytännössä jokaisen kuluttajatietokoneen ohjelmistot ovat täynnä vikoja ja TÄYSIN VASTAAVIA tietoturvareikiä löytyy keskimäärin 5pv välein näistä ohjelmistoista ja yhtä usein tulee myös niitä korjauksia niihin kun rikolliset alkavat heti hyökkäillä niihin, tai myös ennen kuin korjausta on tehty.
Turha sitä pelkkää Javaa on ihmetellä, hoitakaa ne muutkin ohjelmat ja säännöllisesti. Mutta älkää helvetissä poistako mitään mitä ette tiedä, älkääkä vaihdelko vanhempiin versioihin kun tietystikin Java 6:n kanssa yhteensopimattomat ohjelmat menee rikki jos sitä käy vanhempaan vaihtelemaan.
Oletteko nyt saman tien muistaneet poistaa Skypen, VLC Playerin, Windows Live Messengerin, IE9:n, Firefoxin, LibreOfficen, MS Officen, Windowsin, Ubuntun, Red Hat Enterprisen, F-Securen, Adobe Readerin, Foxit Readerin, Adobe Flash Playerin, Spotifyn yms. tietoturvareikäiset ohjelmat?
Jostain syystä hölmöläisiltä on päässyt unohtumaan se, että käytännössä jokaisen kuluttajatietokoneen ohjelmistot ovat täynnä vikoja ja TÄYSIN VASTAAVIA tietoturvareikiä löytyy keskimäärin 5pv välein näistä ohjelmistoista ja yhtä usein tulee myös niitä korjauksia niihin kun rikolliset alkavat heti hyökkäillä niihin, tai myös ennen kuin korjausta on tehty.
Turha sitä pelkkää Javaa on ihmetellä, hoitakaa ne muutkin ohjelmat ja säännöllisesti. Mutta älkää helvetissä poistako mitään mitä ette tiedä, älkääkä vaihdelko vanhempiin versioihin kun tietystikin Java 6:n kanssa yhteensopimattomat ohjelmat menee rikki jos sitä käy vanhempaan vaihtelemaan.
Vastaukset 35
Vanhimmat
Olet oikeassa, että hyvin monissa ohjelmissa on tietoturva-aukkoja.
Javan osalta tilanteen tekee vaaralliseksi seuraava kombinaatio:
- Aukko on yleisessä tiedossa.
- Aukkoa vastaan tiedetään olevan olemassa hyökkäyskoodeja.
- Aukkoon ei ole korjausta.
- Korjausta ei ole lähiaikoina odotettavissakaan.
Normaalitilannehan on se, että kun aukko löytyy, se korjataan varsin nopeasti, monissa tapauksissa (ei tosin läheskään aina) jo ennen kuin sitä vastaan on hyökätty.
Taitaa java kohta tarvita oman alueen jos ei jo ole :D itse pohdin eilen aamulla sen poistamista talouden kaikista koneista. Mietin mihin sitä viimeksi on tarvinnut. En keksiny joten menin poistin.
Ei koko javaa siltikään tarvitse poistaa. Selainliitännäisen sammuttaa niin se riittää,
tai Firefoxiin Noscript lisäosa.
On tuo kyllä kun lukee nii melkoista söhläämistä yhden tietoturva-aukon kanssa :D
"- Aukko on yleisessä tiedossa."
Kaikki aukot ovat yleisessä tiedossa heti kun niihin julkaistaan korjaus, eli melkein joka ohjelmassa on useita kertoja vuodessa yleisessä tiedossa oleva aukko.
"- Aukkoa vastaan tiedetään olevan olemassa hyökkäyskoodeja."
Aukkoihin tehdään hyökkäyskoodia jatkuvasti.
"- Aukkoon ei ole korjausta."
Tälläistä sattuu välillä. Esim. Windowsin, Firefoxin, Internet Explorerin, Adobe Readerin, Flash Playerin yms. tapauksessa tapahtunut monesti. Sillä ei ole väliä onko korjausta vai ei jos ohjelmat yleensäkin on korjaamatta.
"-Korjausta ei ole lähiaikoina odotettavissakaan."
Nollapäiväaukot korjataan asiallisesti ylläpidetyistä ohjelmistoista, kuten Java alustasta, muutamassa päivässä. Itseasiassa korjaus varmastikin on jo Oraclella mutta testaavat vielä ennen jakoon laittamista.
"Normaalitilannehan on se, että kun aukko löytyy, se korjataan varsin nopeasti"
Ne korjaukset pitää myös asentaa niihin kaikkiin ohjelmiin, ei pelkästään Javaan. Ja se pitää tehdä säännöllisesti kun niitä vikoja löytyy keskimäärin noin viiden päivän välein.
"Kaikki aukot ovat yleisessä tiedossa heti kun niihin julkaistaan korjaus, eli melkein joka ohjelmassa on useita kertoja vuodessa yleisessä tiedossa oleva aukko."
Kyllä. Mutta tuosta hetkestä alkaen ne on myös mahdollista tukkia asentamalla se julkistettu korjaus. Monet ohjelmat (eivät valitettavasti kaikki tarvittavat) päivittävät itse itsensä (ellei käyttäjä tätä erikseen estä), jolloin aika aukon hyödyntämiseen jää pieneksi.
"Aukkoihin tehdään hyökkäyskoodia jatkuvasti."
Tietenkin. Heti kun hyökkäyskoodin tekijöille selviää aukon olemassaolo, alkaa hyökkäyksen valmistelu. Niissä tapauksissa, joissa aukko löytyy ennen hyökkäystä ja päivitys valmistuu järkevässä ajassa, voi hyökkäys käytännössä kohdistua vain päivittämättömiin koneisiin (joita on luvattoman paljon). Tämä rajaa hyökkäyksen onnistumisprosenttia melko lailla.
"Tälläistä sattuu välillä. Esim. Windowsin, Firefoxin, Internet Explorerin, Adobe Readerin, Flash Playerin yms. tapauksessa tapahtunut monesti. Sillä ei ole väliä onko korjausta vai ei jos ohjelmat yleensäkin on korjaamatta."
Tietoturva-aukosta ei ole mitään vaaraa, ennen kuin joku löytää sen. Oleellinen kysymys onkin se, että löytääkö sen ensin potentiaalinen hyökkääjä (jolloin aukon korjaus alkaa vasta kun hyökkäys havaitaan) vai joku muu (jolloin aukko usein ehditään korjata jo ennen yhtään hyökkäystä.
"Nollapäiväaukot korjataan asiallisesti ylläpidetyistä ohjelmistoista, kuten Java alustasta, muutamassa päivässä. Itseasiassa korjaus varmastikin on jo Oraclella mutta testaavat vielä ennen jakoon laittamista."
Tämä jää nähtäväksi. Oma arvaukseni on, että eletään lokakuuta ennen kuin aukon tukkiva päivitys on jakelussa. Tämä on aivan liian pitkä aika, ja toivon olevani väärässä.
"Ne korjaukset pitää myös asentaa niihin kaikkiin ohjelmiin, ei pelkästään Javaan. Ja se pitää tehdä säännöllisesti kun niitä vikoja löytyy keskimäärin noin viiden päivän välein."
Totta. Ja säännöllisen päivittämisen muistamisen edellyttäminen normaalikäyttäjältä on liikaa. Sen pitäisi tapahtua automaattisesti ja helposti. Windows-maailma voisi tässä ottaa mallia monista linux-distroista.
Unohtui muuten tuosta alkuperäisestä listata yksi tärkeä pointti:
- Java on tolkuttoman yleinen - se löytyy lähes joka koneesta - ja lähes aina se on oletuksena säädetty toimimaan selaimessa vapaasti.
No onhan se varmaan suosituin ohjelmistoalusta. Selainlisäosaa tarvitsee vähemmän kuin Javaa yleensä. Turvallisuutta voi helposti parantaa kun poistaa kaikki selainlisäosat mitä ei käytä missään.
Olin väärässä. Oracle on juuri julkaissut Java 7u7:n, jonka pitäisi korjata tuo tietoturva-aukko.
Hyvä näin. :)
Eiköhän tuolla ole moni asiantuntija suositellut javan poistamista. Et taida itse olla ihan asiantuntija alalla. Kehotankin tutustumaan isojen poikien ohjeisiin. Vaikka sama kai se muille on mitä sinä omalla koneellasi teet, mutta älä tule tänne antamaan neuvoja asioista joista et ole perillä alkuunkaan.
Kehottavat poistamaan käytöstä, ei poistamaan koko javaa.
Minä olen asiantuntija ja suosittelen poistamaan kaiken mitä ei käytä. Mutta sellaista ei tietenkään ole järkeä poistaa mitä tarvitsee.
Panikointi on täysin aiheetonta. Vain osa ylläpitämistäni systeemeistä altistuu tälle koska Javaa niissä ei ole tai se on kytketty selaimista pois tarpeettomana. Ja nekin mitkä altistuu päivitetään kuukausittain joten yks hailee.
Jos se oman tietokoneen säännöllinen päivittäminen ja ylläpitäminen on niin ylivoimaista niin ehkä sille tarvisi tehdä jotain? Esim. hankkii helpommin ylläpidettävät ohjelmistot tai maksaa ylläpidosta, niin ei tarvitse panikoida turhasta. Reikiä ne ohjelmistot on täynnä joka tapauksessa.
Mitä mieltä olet asiantuntijana, kannattako poistaa kaikki sellainen, mitä tarvitsee vain osittain ja silloin tällöin?
Poistaa ne asiat mitä ei tarvitse jos mahdollista. Esim. Javan tapauksessa voi usein ruksia selainlaajennoksen pois käytöstä niin voi käytellä Javaohjelmia normaaliin tapaan mutta selainkilkkeet, kuten jotkut nettipokerit sitten eivät enää toimi. Homma ei vaikuta mitenkään jos ei käytä vaikka nettipokeria.
Itselläni ei ole ollut ikinä päässyt vahingossa haittaohjelmaa koneelle eikä se ole muuta vaatinut kuin tarpeettomien toimintojen poistamisen ja kuukausittaisen päivityksen. Mitään huuhaa turvaohjelmiakaan ei tarvitse.
Tarkoitin vain, että pitääkö poistaa aivan kaikki, mitä tarvitsee vain vähäsen ja välillä hieman enemmän?
Jos ohjelma käyttää nettiyhteyttä tai avaa vieraita tiedostoja (mukaanlukien selainlisäosat, kodekit yms.) niin sen turvallisuus tulee tarkistaa (ja päivittää tarvittaessa) kuukausittain. Voit itse arvioida milloin tulee helpommaksi poistaa ja asentaa aina uudestaan tarvittaessa kuin päivittää säännöllisesti.
Mitä ihmeen panikointia se on, että tavan taaveja opastetaan ottamaan selaimestaan java kikkareet tilapäisesti pois päältä tai "ääriaineisto" kehottaa tavantaavia "jopa" poistamaan javan, joko tilapäisesti tai kokonaan. Javan, jota tavantaavi kaipaa 100x vähemmän elämässään kuin vaikkapa parjaamaasi "reikäistä" pdf-lukijaa.
Jos mitään ei kirjoitettaisi tai tavantaaveja opastettaisi, niin sitten kun helvetti pääsee irti, niin ämkarrit olisi naureskelemassa ja syyllistämässä näitä tavantaaveja, kun he eivät tietoturvan eteen mitään ole tehneet.
Tässä "hysteriassa" on sekin hyvä puoli, että ihmiset eli tavantaavit tulevat entistä tietoisemmiksi tietokoneen tietoturvasta.
M-Kar käy lukemassa tuolta niin ehkä ymmärrät miksi tämä on poikkeuksellisen vakava uhka
https://bugzilla.redhat.com/show_bug.cgi?id=852051
Virustorjuntakaan ei tähän oikein auta, koska ei ole olemassa mitään yleispätevää signaturea jolla haitallisen bytecoden voisi tunnistaa.
No tuollaisia korjataan esim. Windowsista, Red Hatista, Ubuntusta joka kuukausi.
Linkkaapa sitten tähän vastaavat vaikka elokuulta mainitsemillesi käyttiksille niin katsotaan
Microsoft päivittää joka kuukauden toinen tiistai ohjelmansa, voit katsoa Windows koneen Microsoft updatesta päivityksistä ja sitä kautta saa lisätietoja. Microsoft työntää yhdellä kertaa koko kuukauden aikana löytyneet turva-aukot. Poikkeustapauksissa voi tulla aikaisemmin.
Red Hatilla sitten tietoturva-aukoista ilmoitetaan sähköpostitse ja ilmoitetaan niistä aukoista jotka löytyy omista asennuksista. Asennettavat ohjelmat ja komponentit kun on valittavissa niin raportit on tapauskohtaisia. Olen jo poistanut elokuun ilmoitukset kun hiljattain tein päivitykset.
Ubuntun tietoturvatiedotteet näkee helpoiten tästä: http://www.ubuntu.com/usn/
Viimeisin Javaongelma toki myös siellä kun Java kuuluu Ubuntuun.
Ei eroa oleellisesti mitenkään Microsoftilta ja Red Hatilta. Microsoft tosin ei tietenkään kerro Windowsiin kuulumattomista ohjelmista mitään joten pitää huomioida jokaisen lisäohjelman turvallisuusasiat erikseen.
Apple hoitaa hommansa heikoiten, sillä se salailee eniten turvaongelmia ja voi pihtailla päivityksiä kuukausia vaikka ohjelmat on vastaavalla tavalla täynnä reikiä kuin muillakin firmoilla.
Eli tosiaankin, naurettavaa panikointia jostain v*tun javan tietoturva-aukosta vaikka näitä on ohjelmistot täynnä ja niitä korjataan jatkuvasti. Käytännössä jokaisen kuluttajan tietokoneesta löytyy noin 5pv välein tietoturvavika mikä pitäisi korjata.
Sen sijaan hölmöläiset alkaa marisemaan jostain Javan huonoudesta yms. vaikka Javassa on alusta pitäen huomioitu tietoturva ja on hyvälaatuista koodia.
Onhan niitä tietoturvavikoja, mutta tämä oli poikkeuksellisen helppo hyödyntää, eikä sille ollut juuri muuta puolustautumismenetelmää kuin poistaa java tai plugini käytöstä. No, nyt julkisuutta saaneena Oraclekin vihdoin sai jotain aikaiseksi. Taisi tuokin päivitys tulla redhatiltä.. ainakin icedtealle tuli tuossa aiemmin
Panikoivat pölvästeille.
Java 6 update 34, jota tietoturvauhka ei koske:
http://www.oracle.com/technetwork/java/javase/downloads/index.html
Ja panikoiville sampopankkilaisille saitti, joka pelaa ilman mitään Javaa:
http://www.sampopankki.fi/fi-fi/Henkiloasiakkaat/mobiilipalvelut/Pages/miniverkkopankki.aspx
miten tää nyt sitten menee????????
mä meen tyhmyyksissäni mtv 3'men sivuillesinne on joku tehny viruksen??????
ja tää virus sitten tutkii onko mulla jaavaa, jos on niin se sitten lähettää tiedon hakkerille, vai häh, vai pistää mtv 3'men saitilta jonkun viruksen, vai häh.
kaikissa noissa jutuissa tään hakkerin pittä joko olla kokoajan koneella, tai sitten se saa jonkun ip-listan ?????
jos hakkeri saa ip listan niin tään hakkerin täytyy sitten kokoajan tutkii olenko on-line, ja jos ajatellaan hakkerin olevan jossain ambomaalla vaikuttaa myös kellon aika.
mites mtv 3'men f-secure internet security tool. eikö se vaikuta, mites sitten mtv 3'n netti sivujen koodaajat onko ne ihan urpoja niin kuin suomalaiset on.
täs hommas on niin monta aukkoa että ei edes siiviläs oo niin monta.
"Mikähän helvetin hinku porukalla on yks kaks alkaa poistella jotain Javaa JUST NYT?".
Onpa outoa tekstiä "alkaa poistella jotain Javaa JUST NYT?"
Jostain syystä hölmöltä (p-par) on päässyt unohtumaan se että tämän hetkisestä javasta on todella varoitettu monilla sivuilla.
"Oletteko nyt saman tien muistaneet poistaa Skypen, VLC Playerin, Windows Live Messengerin, IE9:n, Firefoxin, LibreOfficen, MS Officen, Windowsin, Ubuntun, Red Hat Enterprisen, F-Securen, Adobe Readerin, Foxit Readerin, Adobe Flash Playerin, Spotifyn yms. tietoturvareikäiset ohjelmat?"
Outoja ehdotuksia JUST NYT.
Kyllä niitä tietoturvatiedotteita julkaistaan suunnilleen joka ohjelmasta. Nyt on vain joku yksittäinen päässyt iltapäivälehtiin.
Eli edelleenkin, onko muista ohjelmista huolehdittu myös? Pois koneelta tai päivitetty? Tää nyt on vähän tätä, että lukitaan ikkuna kun siitä joku sanonut mutta ovi on edelleen auki.
Toisin sanoen, tässä nyt on ennemminkin kyse yksittäisen ohjelman mustamaalaamisesta. Hölmöläiset tuntuu toimivan jossain harhaisessa uskossa, että NYT pitää olla säätämässä tietokonetta kun joku mainitsi jostain Javan reiäistä iltapäivälehdissä ja Java on siksi jotenkin huono.
Normaalissa tietokoneen ylläpidossa tässä ei ole mitään poikkeavaa. Edelleenkin tälläisiä vastaavia vikoja löydetään noin viiden päivän välein eri ohjelmistoista ja niitä siksi korjataan.
Eli mitä jos huolehtisitte ihan normaalisti niistä koneista, eli päivitetään joka hemmetin ohjelma mikä tarvitsee nettiyhteyttä, tai joka avaa vieraita tiedostoja (kodekit ja selainlisäosat mukaanlukien) sekä käyttöjärjestelmä, ainakin kerran kuussa. Näinhän se kuuluukin tehdä, eikä vasta silloin käydä tukkimassa Javareikää kun jossain lööpissä lukee ja jätetä vaikka Windows Live Messenger päivittämättä.
Nyt kun mainostat itseäsi asiantuntijana, pane esimerkein päivitettyjä ohjelmia, joissa on hyväksikäytettyjä aukkoja ja jotka on jo liitetty myytäviin exploittikitteihin?
Tästä aukosta, joku sanoikin, että helposti olisi saanut 100000 $, jos olisi pystynyt ilman tätä hässäkkää yhdelle myymään.
"Eli mitä jos huolehtisitte ihan normaalisti niistä koneista, eli päivitetään joka hemmetin ohjelma mikä tarvitsee nettiyhteyttä, tai joka avaa vieraita tiedostoja (kodekit ja selainlisäosat mukaanlukien) sekä käyttöjärjestelmä, ainakin kerran kuussa. Näinhän se kuuluukin tehdä, eikä vasta silloin käydä tukkimassa Javareikää kun jossain lööpissä lukee...".
Huomaatko ristiriidan? Kerran kuussa vai heti kun tulee tietoon. Vai tiesikö asiantuntija nämä pari aukkoa etukäteen?
"Nyt kun mainostat itseäsi asiantuntijana, pane esimerkein päivitettyjä ohjelmia, joissa on hyväksikäytettyjä aukkoja ja jotka on jo liitetty myytäviin exploittikitteihin?"
http://www.tietokone.fi/content/search?SearchText=nollapäivä&contentclass_id=16&submit.x=0&submit.y=0
Noin lyhyesti, Windows ja siinä olevat keskeiset sovellukset kuten Internet Explorer, Outlook Express yms. sekä Firefox, Adobe Reader, Flash Player, MS Office, MS Excahange... Yleisesti ottaen tälläisiä on vaikka kuinka, ei mitään uutta tai ihmeellistä.
Tämä muuten kannattaa lukea: http://www.tietokone.fi/uutiset/2007/ibm_turva_aukkojen_todellisuus_on_jarkyttava
Siis v*ttu oikeesti, täälläkin hölmöläiset itkee kuinka on niin pettyneitä jos nyt jostain Javasta, joka yleisesti ottaen on hyvälaatuinen ohjelmisto jossa turvallisuus huomioitu, onkin turvareikä. se on niiiiin väärin ja paha juttukun on vähän turvareikiä ohjelmissa niin eiköhän sitä kannattaisi ihan oikeasti nousta barrikadeille ja alkaa maksamaan niistä ohjelmista vähä enemmän kuin ottaa jotain yksittäistä ohjelmaa silmätikuksi.
Ihan kuin siinä on jotain vaikeasti ymmärrettävää, että VALMIISSA tietokoneohjelmissa on kymmeniä virheitä tuhatta riviä kohden, ja virheet nyt voivat mahdollistaa rahojen viemisen tililtä, tiedostojen tuhoutumisen, ohjelmistojen sekoamisen uudelleenasennuskuntoon yms.
"Huomaatko ristiriidan? Kerran kuussa vai heti kun tulee tietoon."
Niitä aukkoja tulee tietoon keskimäärin noin viiden päivän välein, eli tuon mukaan pitäisi joka päivä olla kyttäämässä niitä aukkoja. Kyllä niitä tietokoneita olisi tarkoitus käyttää eikä kyttäillä viimeisintä päivitystä.
"Vai tiesikö asiantuntija nämä pari aukkoa etukäteen?"
Tiesin. Katsos kun tietokoneohjelmistot oletusarvoisesti sisältävät kymmeniä vikoja tuhatta riviä kohden, ja Javassa kun on monia miljoonia rivejä koodia niin ei siitä viat lopu kesken. Siksi en ikinä pidä Javaa käytössä missään ylläpitämässäni koneessa missä sitä ei tarvita, tai jos selainlaajennusta ei tarvita niin se on otettu pois käytöstä ja muuten sitten päivitän kuukausittain.
Sama toki pätee kaikkiin ohjelmistoihin yleisesti. Esim. Windowseista on tarpeettomat palvelut poistettu, etätukipyyntöjä ei onnistu tekemään ja jne. Virheitä täynnä niin ei sitten koske ne virheet kun koko koodia ei ole käytössä.
no woi wittu just ku mä sain ylen serverille tään viruksen niin täälä puhutaan tälläästä
Netti on ehdottoman turvallinen, kun sitä ei käytä ollenkaan.
Lataan sivut aina kaverin luona offline tiedostoiksi USB-tikulle, ja sitten kotona surffaan tikulla olevissa nettisivuissa.
Jos java on niin perkeleen vaarallinen niin miksei ole kuulunut ilmoituksia kaapatuista koneista.
Kypärä aina päähän kun ajelee jawalla.
Siksi kun se toiminta on nykyään ammattimaista. Ei olisi järkevää pistää konetta solmuun kun zombie on rahanarvoista tavaraa. Zombiverkkoja myydään/vuokrataan pahassa maailmassa ja niillä tehdään kaikkea "kivaa". Sinäkin voit olla yksi onnellinen jonka kone tekee ties mitä tietomurroista palvelunestohyökkäyksiin tai jakaa terroristimateriaalia jne. Kannattaa vaan pitää ne tietämättömyyslasit päässä niin on helpompaa
M-Kar luulee tietävänsä asiat paremmin kuin CERT-FI ja F-Secure.
Uskomatonta!
Virusten kehittäjätkin osaavat etsiä aukkoja (joita windowsissa riittä loputtomasti), päivittäminen ei paljoa auta.
Kyllähän esim. Gauss tarttuu täysin päivitettyihin windowseihin, jossa kaikki ohjelmistotkin ovat ajan tasalla eikä yhtään tunnettua 0-day aukkoa. Netistä leviämisen menetelmää ei edes tunneta joten aukkoa ei voi paikatakaan Gaussin tarttumisen estämiseksi. Se tarttuu juuri niihin koneisiin joihin gaussin ylläpitäjä sen haluaa tartuttaa.