Erään pankin arvopaperikaupan kaupankäyntialusta on selainpohjainen ja perustana tuo Java Platform SE 7 U.
Valitettavasti vaikuttaa tietoturvan kannalta mahdollisesti ei optimilta yhdistelmältä.
Millaista tietoturvarsikiä tuo Java Platform SE 7 U edustaa?
Ps. Näkisin ideaalina selaimesta riippumattoman kaupankäyntialustan sen vakauden ja tietoturvan kannalta katsottuna.
Valitettavasti vaikuttaa tietoturvan kannalta mahdollisesti ei optimilta yhdistelmältä.
Millaista tietoturvarsikiä tuo Java Platform SE 7 U edustaa?
Ps. Näkisin ideaalina selaimesta riippumattoman kaupankäyntialustan sen vakauden ja tietoturvan kannalta katsottuna.
Vastaukset 55
Vanhimmat
Ei turvallinen koska uusin on Java 8 update 5.
http://www.java.com/en/download/windows_xpi.jsp?locale=en
Uusin Version 7 Update 60.
Ei ole. http://en.wikipedia.org/wiki/Java_version_history
Java 7 on tuettu vielä vuoden päivät. Se on ihan yhtä turvallinen kuin kasikin kunnes toisin todistetaan
Java 8 on uudempi joten siinä on todennäköisesti korjattu muiden versioiden tietoturva ongelmat. Toki uusia voi tulla.
Java 8.5 julkaistu 15.4 2014. Java 7.60 julkaistu 28.5 2014.
Kummassa on uudempi security?
Ei se pelkkä julkaisupäivämäärä kaikkea kerro... Java 8:ssa voi olla (ja todennäköisesti onkin) sellaisia perustavanlaatuisia tietoturvamuutoksia, että niitä Java 7 ei tule koskaan näkemään.
Ja paljon uusia bugeja joista johtuvia tietoturvaongelmia ei ole vielä havaittu
Java 8:ssa.
Todennäköisesti vähemmän kun koodia on parannettu, ja Java 7:ssa voi olla niitä turvareikiä joita ei ole voitu korjata koska korjaaminen voi särkeä ohjelmia ja näiden korjaaminen siirretty Java 8:n.
JAva 8 on tuosta uudempi kersio.
http://aijaa.com/7neikV
Mulla on tuollainen versio käytössä.
Mistä linkistä mun pitäis ladata uusi versio?
Täältä: http://www.filehippo.com/download_jre_32/
Onko Oraclen omalla sivulla tarjolla tuota ja jos ei, niin miksei? Miten se jossain Filehipossa on, jos ei Oraclen sivulla? Minulla ainakin Javapaneelin update-tarkistus tarjoaa jotain versiota 60 uusimpana.
Ja täällähän on sanottu, että ohjelmat kannattaa ladata niiden valmistajien sivulta?.
Ei kannata tarjota englannin kielisiä selityssivustoja, kun en osaa englantia.
Tuo ohjelmien lataus pelkästään valmistajien sivuilta ei pidä täysin paikkaansa. Jos tietää että jokin toinen sivusto on luotettava niin sieltä voi ladata. Esimerkiksi tuo Filehippo sivu on luotettava ja turvallinen paikka ladata ohjelmia. Tiedän monen vuoden kokemuksesta.
Kyseinen versio ei ole vielä yleisesti jakelussa mahdolliset bugien vuoksi. Tosin itse en ole havainnut niitä.
Kannattaa siis odottaa mainitsemasi version ilmestymistä Oraclen omalle sivulle, jos ei ole sen lajin asiantuntija, joka pystyy ne mahdolliset bugit havaitsemaan?
Jos näin haluaa tehdä. Yhteenkään bugiin en ole vielä törmännyt.
Joo, http://www.java.com/en/ on ainoa oikea lataus-sivusto ja siellä tarjotaan
"64-bit Java for Windows Internet Explorer
Recommended Version 7 Update 60 "
versiota. Taitaa tosiaan se 8 olla vielä vaiheessa.
Mistä tietää, mikä sivu on luotettava?
Lukemalla kokemuksia siitä.
Ei ole.
http://www.oracle.com/technetwork/java/javase/downloads/index.html?ssSourceSiteId=otnjp
Tuo on se pääasiallinen Javan lataussivusto ja 8 versio on kyllä ihan valmis. Oracle vaan on porrastanut tuota Javan jakelua niin, että on ns. mummoversio lataussivusto mihin laitoit linkin ja sinne tulee se uusin Java myöhemmin. Ajatus on se, että saattaa olla joitakin vanhoja Javalla tehtyjä ohjelmia mitkä saattaa hajota uudella Javaversiolla ja on lisää aikaa sitten korjata niitä ja tehdä niistä uudet versiot ohjelmistokehittäjillä ennen kuin sitä jaellaan mummosivustolla. Mahdollisesti uudessa Javassa löytyy vielä vikoja joten nekin on sitten paremmin korjattu.
Jos nyt Java 7 on jo käytössä niin ei kannata vaihtaa mihinkään, helposti voi mennä vuoden vielä sillä. Sen sijaan jos rakentaa ihan uuden ympäristön, niin tilanne on eri ja silloin voi itse testata että toimiiko kaikki ohjelmat sillä Java 8:lla mitä itse tarvitsee ja menee suoraan siihen niin ei sitten tarvitse olla päivittämässä sitä Javaa uudempaan pitkään aikaan.
Tarpeettomien muutosten ja päivitysten välttäminen on kuitenkin hyvä asia.
On jo Oraclen sivuilla, mutta mummoversio lataussivulle tulee myöhemmin.
Eli mutuilet taas.
Luotettavuus on sitä, että:
A) Olet nähnyt sen sivuston ylläpitäjän naaman että tiedät kuka se on
B) Tarkistetaan vähintäänkin kenellä sivuston domain on, ja varmistetaan että sen sivuston tietoturvallisuus on hoidettu asianmukaisesti ettei joku kiinalainen ole hakkeroinut sitä ohjelmien digitaaliset allekirjoitukset on kunnossa.
Siitä pitää lähteä, että jos ohjelman mukana tulee jotain ylimääräistä ja vakoilee, tai se vaikka tuhoaa tiedostot, se henkilö kuka tästä vastussa pitää saada tavoitettua.
Tämä luotettavuuden varmennus pitää tehdä joka ohjelmalla joka ladataan varmentamattomista lähteistä ja luotettavuuden varmennus ei ole mikään kokemusten kuuleminen. Kertoiko joku kokemuksella sen puhelinnumeron mistä löytyy henkilö ketä voi tarvittaessa vaikka leipoa turpaan?
Tätä varten kuluttajille on sitten olemassa ne sovelluskaupat ja vastaavat tekniikat luotettavuuden varmentamiseen kun kokemukseni mukaan jos sovelluskauppaa tai vastaavaa ei ole, porukka latailee mitä sattuu ilman luotettavuuden todellista varmentamista.
Totta se on.
Eli jos lataat Filehiposta vaikka PuTTy:n, sen mukana tuleekin haittaohjelma joka lähettää kaikki tiedostosi johonkin hevon kuuseen ja sen jälkeen tuhoaa kiintolevyn sisällön että saa peitettyä jäljet.
Kenet haastat oikeuteen ja keneltä saat vahingonkorvaukset?
En ketään. Se on sitten oma vikani koska minähän sen latasin.
Mutta jos tietää että sivusto on turvallinen niin hyvin voi ladata. Esim tämä Filehippo on sellainen.
"En ketään. Se on sitten oma vikani koska minähän sen latasin."
Eli se ei siis ole oikeasti luotettava ja turvallinen vaan sinusta vaan tuntuu ja arvailet, että se on turvallinen.
"Mutta jos tietää että sivusto on turvallinen niin hyvin voi ladata. Esim tämä Filehippo on sellainen. "
Juuri sanoit että sen luotettavuus on sillä tasolla, että voi vakoilla ja tuhota tiedot ja kukaan ei vastaa mistään. Voi vaan tapahtua tälläisiä asioita.
http://aijaa.com/9dMqyj
Onko tuo 32- bit versio?
Sen nimittäin latasin, selain on FF
On.
Java 8 on uusin. http://www.oracle.com/technetwork/java/javase/overview/java8-2100321.html
Java Platform SE 7 ei ole selainpohjainen.
>> Java Platform SE 7 ei ole selainpohjainen.
Haluaisitko tarkentaa kommenttiasi, sillä selalisenaan se ei vie asiaa eteenpäin tai anna lisää infoa olelliseen kysymykseen.
Kyseinen kaupankäyntialusta on selainpohjainen, ei koneelle asennettava ja toimaksen se kysyy Java Platform SE 7 hyväksymistä.
Minä luulen että sinulla on se Java Platform SE 7 koneellasi, ja tästä on kytkettynä päälle sellainen vanhaa tekniikkaa oleva selainlaajennus ja ilmeisesti selain kysyy että käynnistetäänkö se selainlaajennos tai vaihtoehtoisesti se selainlaajonnos on jo käynnissä ja kysyy sitten, että käynnistetäänkö se vanhaa tekniikka oleva juttu.
Selainpohjainen tekniikka ei tietenkään tarvitse mitään Java Platform SE 7:aa vaan se Java Platform SE 7 on ihan oma alusta mitä käytetään jonkun selainlaajennoksen kautta.
Kunhan se on päivitetty uusimpaan versioon ja rajaat tämän oikeuksia niin, että estetään kaikki muu paitsi se haluttu palvelu niin kyllä se sitten ihan turvallinen on.
>> Selainpohjainen tekniikka ei tietenkään tarvitse mitään Java Platform SE 7:aa vaan se Java Platform SE 7 on ihan oma alusta mitä käytetään jonkun selainlaajennoksen kautta.
Eli sama pelkistetysti. Kyseinen selainpohjainen kaunpakäyntialusta on toteutettu Javaa tarvitsevalla tekniikalla.
Siten tuo kaupankäyntialusta pyytää koneella olevan Javan aktivoimista.
Mitä Javan asetuksiin ja sille rajoituksien luomiseen tulee, niin ne ovat itselleni vierasta aluetta.
"Eli sama pelkistetysti. Kyseinen selainpohjainen kaunpakäyntialusta on toteutettu Javaa tarvitsevalla tekniikalla."
Käytännössä se on Javapohjainen tekniikka mutta se vaan käynnistetään selaimen kautta sellaisen selainlisäosan kautta, mikä mahdollistaa myös Javaohjelman upottamisen selainikkunan sisälle.
"Siten tuo kaupankäyntialusta pyytää koneella olevan Javan aktivoimista."
Menee niin, että selain lataa sen osoiterivin linkin jossa se kaupankäyntialusta. Sivulla on sitten tieto, että paikasta X pitää käynnistää Javaohjelma käyttämällä selainlisäosaa. Sitten Java käynnistää sen kaupankäyntialustan selaimelta saadun ohjeen mukaan ja Java kysyy, että "mikäs tämä ohjelma on mjitä yrität käynnistää, että luotatko tähän?". Sitten jos sille antaa luvan, Java käynnistää ohjelman.
Ei periaatteessa mitään eroa sillä että lataat vaikka Adobe Readerin Adobelta käynnistät sen ohjelman itse, jolloin sinun pitää voida luottaa Adobeen että sen ohjelma ei tuhoa kaikkia tietoja kun kysyy pääkäyttäjän oikeuksia siinä asennuksessa.
Homma perustuu hyvin paljon luottamukseen ja luotettavuutta pitää varmistaa. Tämän takia kuluttajille sopii erilaiset sovelluskauppa tekniikat paremmin jossa kaikkien ohjelmien luotettavuus on joko etukäteen tarkastettu, tai vähintäänkin Googlen tapaan on jälkivalvonta ja automatisoitu tarkastus, ja Androidissa sitten on hienojakoisempi ja selkeämpi oikeuksien myöntäminen jossa käyttöjärjestelmä kysyy mitä lupia ohjelma haluaa tehdä (ohjelma haluaa käyttää kameraa, lukea ja kirjoittaa tietoja levylle, ei käytä nettiyhteyttä, LUOTATKO?).
Windows 7 on valitettavan vanhanaikainen kuluttajien tarpeisiin tänä päivänä kun pitäisi kaikkien ohjelmien tekijät ja ohjelmat varmistaa. Sopii kyllä oikein hyvin yrityksille vielä missä IT-ammattilaiset tekee tätä hommaa työkseen. Tosin saahan sitä IT-palvelua kuluttajillekin hankitttua mutta kyllä se vaan menee paljon kalliimmaksi ja vaikeammaksi kuin se että käyttää tekniikkaa mikä on oikeasti suunniteltu kuluttajille.
Avauksen tarkoitus ei ollut saada aikaan eipäs- juupas kinastelua Javan eri versiosita ja siitä onko uusin varmasti aukottomampi vai ei.
Palstalla usein kehoitetaan viskaamaan koko Java pois koneelta täysin tarpeetomana IT-alan muinaisjäännöksenä.
Kuitenkin edelleen merkittävätkin pankit / brookerit eri maissa Javaa käyttävät ratkaisuissaan.
Herääkin kysymys miksi edelleen tietoturvariskisenä pidettyä Javaa käytetään lukemattomien pankkien ratkaisuissa, alalla jossa tietoturvan nimeomaan tulisi olla yksi ensisisjainen asia.
Tekniikkaa tuntematta herää kysymys, että onko selainpohjaisen kaupankäyntialustan toteuttaminen ilman Javaa erityisen haastava ja suuri muutos rahalaitoksen IT-osastolle (myös taloudellisesti kustantava projekti) ja siksi sellaisen ei helposti lähdetä.
Tarjoaako Java-pohjainen kaupankäyntialusta ratkaisuna jotakin etua, jossa Javaton versio olisi haastava ja kustannuksiltaan kallis muutos?
Firefox 29 ( NoScript) ja koneella on Java 7 update 60. Juuri hain tuon 7/60:n jota tarjosi viimeisimpänä. Edellinen oli 7 - 55.
Kyseinen kaupankäyntialusta pyytää tuon Java Platform SE 7 U aktivoimista.
Selain varoittaa sen aktivoimisesta ja kysyy onko taho luottamuksellinen, sillä aktivoiminen antaa sille _ei rajatut oikeudet / pääsyn_, joka voi olla riski PC:lle ja henkilökohtaiselle informaatiolle / tiedoille.
Siis mihin kaikkeen tuolla Java Platform SE 7 U:lla on pääsy koneella?
Edellä oleva on hämäävää, sillä en toistaiseksi koskaan ole antanut / joutunut erikseen antamaan lupaa. Myös Javan oma sivun pyytää samaa jos halua erikseen tatarkistaa Javan version.
Javan tilkitsemisestä on näköjään luovuttu, joten vastuun sysäämiseksi käyttäjälle on lisätty tuo kysely aina Java-applettia suoritettaessa.
Enpä tiedä onko oikea ratkaisu. Ei tuo ainakaan Javan suosiota lisää sen enempää kehittäjillä kuin käyttäjilläkään.
"Firefox 29 ( NoScript) ja koneella on Java 7 update 60. Juuri hain tuon 7/60:n jota tarjosi viimeisimpänä. Edellinen oli 7 - 55."
Miksi käytät jotain NoScriptiä jos kerran haluaisit mieluummin hoitaa asiat selaimella?
"Selain varoittaa sen aktivoimisesta ja kysyy onko taho luottamuksellinen, sillä aktivoiminen antaa sille _ei rajatut oikeudet / pääsyn_, joka voi olla riski PC:lle ja henkilökohtaiselle informaatiolle / tiedoille."
Laitatko kuvakaappauksen johonkin, että onko tässä nyt varmasti kyse selaimesta eikä Java Platform 7 SE:stä?
"Siis mihin kaikkeen tuolla Java Platform SE 7 U:lla on pääsy koneella?"
Samat mitkä selaimella, eli kaikki mihin pääset käsiksi käytössä olevalla käyttäjätilillä, on selaimen sekä Java Platform SE 7:n käsiteltävissä. Selain sekä Java Platform SE 7 eristävät kyllä näissä ajettavia sovelluksia eri tavoin, mutta tietoturva-aukkoja jos on niin koko käyttäjätili on käytettävissä.
>> Laitatko kuvakaappauksen johonkin, että onko tässä nyt varmasti kyse selaimesta eikä Java Platform 7 SE:stä?
Sorry, komento takaisin. Kyllä se on ihan Javan oma varoitusikkuna, joka tulee eille. Sama varoitus tulee vastaan kun Javan sivulla haluaa tarkistaa Java-vesionsa.
>>... kaikki mihin pääset käsiksi käytössä olevalla käyttäjätilillä, on selaimen sekä Java Platform SE 7:n käsiteltävissä
Tuon perusteella on aihetta huoleen yksityisyden suhteen. Eli selainkin pääsee nuskimaan yllätävän laajasti koneita.
Onko selaimella ja Javalla siis pääsy jopa Open Officen ja PDF-lukijaan tallennettuihin privatteihin aineistoihin / asiakirjoihin? Kuulostaa oudolta.
Itsellä W7 ja aina rajoitettu käyttäjätili käytössä, sekä kone asianmukaisesti suojattu & päivitetty ja kaikki varsin vähäiset ja tarpeelliset lataukset, sekä päivitykset vain ohjelmien virallisten sivujen kautta.
Ps. Varmistetaan nyt vielä termistöä teknikkaa sen paremmin tuntemattomana. Ovatko Java Platform SE 7 U ja Java 7 (Update 60) yksi ja sama aisia?
"Onko selaimella ja Javalla siis pääsy jopa Open Officen ja PDF-lukijaan tallennettuihin privatteihin aineistoihin / asiakirjoihin? Kuulostaa oudolta."
Käyttöjärjestelmä on se mikä tekee oikeuksien rajauksen ja se tehdään niillä käyttäjätileillä. Ohjelman kun käynnistää, se saa täysin samat oikeudet kuin ohjelman käynnistänyt käyttäjä, eli tämän käyttäjätilin kaikki tiedostot on vaikka tuhottavissa ja voi vaikka lähettää ne tiedot muualle. Jos ohjelma kysyy pääkäyttäjän salasanaa, mitä ohjelmat asennuksessa usein tekevät, se ohjelmaa saa silloin täydet oikeudet tehdä mitä tahansa ja vaikka pyyhkiä koko kiintolevyn tyhjäksi.
Tämän takia jokaisen ohjelman latauslähde pitää aina varmistaa. Jos niitä ohjelmia latailee eri valmistajilta niin jokaisen ohjelman valmistajan taustat pitää selvittää koska sitä antaa samalla pääsyn omalle koneelle. Pitää siis voida luottaa että ohjelmat tekee just sitä mitä pitääkin. Tavalliiselle tallaajalle Windows 7 ei sellaisenaan käytännössä sovi koska siinä ei ole mitään varmennettua ohjelmien latauspaikkaa, joten pitää melkeinpä olla lataamatta mitään ohjelmia siihen jos haluaa varmistua turvallisuudesta tai sitten käyttää paljon vaivaa kaikkien ohjelmien luotettavuuden varmistamiseksi. Käytännössä ohjelman tekijä pitää tietää sillä tasolla, että sen kaverin tavoittaa ihan varmasti puhelimella tarvittaessa jos niin haluaa.
"Ps. Varmistetaan nyt vielä termistöä teknikkaa sen paremmin tuntemattomana. Ovatko Java Platform SE 7 U ja Java 7 (Update 60) yksi ja sama aisia? "
Sama asia.
Java kysyy sitä lupaa siksi, että Java itsessään sisältää ohjelmien oikeuksien rajausmekanismeja Javalla tehtyihin ohjelmiin. Eli jos luottaa Javaan ja siinä ei ole virheitä, Java esimerkiksi mahdollistaa rajata ohjelmien muistinkäyttöä ja kysyy erikseen luvan selainpalikan kautta käynnistettyjen ohjelmien ajamiselle. Windowsilla itsellään jos käynnistää ohjelman niin vaikka olisi rajattu käyttäjätili ja estetty pääsy kirjoittaa kiintolevylle niin ohjelma voi silti esimerkiksi varata kaiken muistin ja jumiuduttaa tietokoneen sillä tavalla.
"Javan tilkitsemisestä on näköjään luovuttu, joten vastuun sysäämiseksi käyttäjälle on lisätty tuo kysely aina Java-applettia suoritettaessa."
Ei ole. Oraclen normaali päivityssykli on 3kk välein, ellei löydy mitään niin kriittistä mihin tarvitsisi puuttua aikaisemmin. Tämä lienee parempi ratkaisu esim. Windowsin ja Mac OS:n käyttäjille joihin se Java asennetaan erikseen niin ei tarvitse niin usein käydä asentamassa sitä. Itse päivitän joistakin tietokoneista Javan vain kerran vuodessa kun selainlisäosa on kytketty pois päältä ja tiedän tarkkaan mitä ohjelmia sillä Javalla käytän ja mitä tietoja ne ajavat, että pystyn pitämään silti reiät tukittuina.
>> Eli jos luottaa Javaan ja siinä ei ole virheitä, Java esimerkiksi mahdollistaa rajata ohjelmien muistinkäyttöä ja kysyy erikseen luvan selainpalikan kautta käynnistettyjen ohjelmien ajamiselle
Eli jos katsoo Javan luotettavaksi kuten sitä käyttävän kaupankäyntialustankin, niin asia linjassa.
>> Javan tilkitsemisestä on näköjään luovuttu, joten vastuun sysäämiseksi käyttäjälle on lisätty tuo kysely aina Java-applettia suoritettaessa.
Eiköhän tuo Java koeta sitä juurikin päivityksillä tilkitä, kuten nyt viimeisin 7-60 versio. Mutta en toivo ketjun menevän liiaksi politikoinniksi sillä realiteetti on tässä ja tämän palstan puitteissa emme sitä voi muuttaa.
Kuten ylempänä manitsin, niin edelleen monissa maissa pankkitahot käyttävät varsin laajalti sovelluksissaan Javaa ja siinä tilanteesa ei asiakkaalla ole montaa vaihtoehtoa, eikä varsinkaan helppoa toteutettavaksi.
Raha-asiat ja Java kuulostaa kieltämättä ei ideaalilta ratkaisulta, mutta ilmeisesti siitä poissiirtymiseen on pakeilla omat syynsä, kuten siirtymän kustannukset ja mahdollinen vaativuus/ haasteellisuus kokonaisuudessaan smaan aikana kun kaiken tulee toimia moittettomasti.
Kaupankäyntialustat ovat varsin vaativia kokonaisuuksia ja niisä uuteen tekniikkaan siirtyminen on varmasti suuri haaste.
Siis mihin kaikkeen tuolla Java Platform SE 7 U:lla on pääsy koneella, josta Fox varoittaa?
Ps. En tiedä millä tekniikalla vaikkapa Nordnetin selainpohjainen Webtrader-kaupankäyntialusta on toteutettu ja onko siinäkin Java pohjalla.
Heidän lisämaksullinen WinTrade puolestaan on koneelle asennettavisa oleva ohjelma.
- https://www.nordnet.fi/palvelut-ja-tuotteet/sijoittamisen-tukena/kaupankayntisovellukset.html
"Siis mihin kaikkeen tuolla Java Platform SE 7 U:lla on pääsy koneella, josta Fox varoittaa?"
Kuten kaikilla ohjelmilla, samaan paikkaan mihin pääset käyttäjätilillä millä ohjelma käynnistetään.
"Heidän lisämaksullinen WinTrade puolestaan on koneelle asennettavisa oleva ohjelma."
Tällä samat oikeudet, ja sehän voi olla myös tehty Javalla. Tuskin nyt käyttävät sekaisin eri tekniikoita jos suinkaan mahdollista.
Kannattaa muistaa kuitenkin, että Java on varsin hyvälaatuista koodia, että tässä itsessään löytyy aika vähän virheitä eikä se myöskään ole tiettävästi ikinä vakoillut tietoja tai poistanut käyttäjän tiedostoja yms. vastaavaa. Erittäin laajalti käytetty tekniikka ja yleisesti käytössä pankkien palvelinpuolella. Ne muut ohjelmat mille Javan selainlisäosa kysyy lupaa, tai mitä ladataan suoraan koneelle ajettavaksi ja ovat sitten vaarallisempia että kannattaa varmistaa mitä käynnistää. Siksihän se sitä lupaa kysyykin, että luotetaanko ohjelman tekijään.
"Eiköhän tuo Java koeta sitä juurikin päivityksillä tilkitä, kuten nyt viimeisin 7-60 versio."
Vähän niinkuin Windows 7. Sitä Windows 7:aa ja tämän selainta on muuten päivitetty viimeaikoina paljon enemmän kuin Java 7:aa. Java 7:n on tehty korjauksia nyt vain 3kk välein kun Windows 7:n on tehty joka kuukausi ja taisi tulla yksi kriittinen korjaus Microsoftin kuukausittaisen päivityssyklin ulkopuolella.
Ne turvareiät sitten tekee sen, että ns. "luotetut" ohjelmat kuten Windows tai Java, joissa on niitä oikeuksien rajausmekanismeja, eivät sitten toimi vaan ne oikeuksien rajaukset saadaan ohitettua.
Ehkä oleellinen kysymys on se, että miksi koet Javan ongelmaksi mutta Windowsia ilmeisesti et?
>> Tällä samat oikeudet, ja sehän voi olla myös tehty Javalla. Tuskin nyt käyttävät sekaisin eri tekniikoita jos suinkaan mahdollista.
Nordnetin ohjelmat olivat vain esimerkkinä ja kuten mainitsin, niin en tiedä onko heidän selaipohjainen alusta tehty Javalla vai ei. Avauksessa on kyse eri tahon alustasta.
Kaupankäyntialustana hyvin tehty selainriippumaton on parempi vaihtoehto teknisen vakauden (selaimen mahdolliset bugit eivät siihen vaikuta) ja tietoturvan kannalta.
>> Ehkä oleellinen kysymys on se, että miksi koet Javan ongelmaksi mutta Windowsia ilmeisesti et?
Javan aukoista johtuvasta turvattomuudesta on kirjoitettu paljon mm. viimeisen 12 kk:n aikana. Siksi Java ja raha-asiat kuulostavat vähemmän optiimilta.
Kun yksikin työohjelma edellyttää Windowsia, niin on turha lähteä kompleksisioimaan elämäänsä muiden käyttöjärjestelmien kanssa.
"Javan aukoista johtuvasta turvattomuudesta on kirjoitettu paljon mm. viimeisen 12 kk:n aikana. Siksi Java ja raha-asiat kuulostavat vähemmän optiimilta."
Javassa on ainoastaan ollut se selainlisäosa se ongelmakohta ja kaikki ne turva-aukkouutisoinnit on kohdistunut siihen. Muilta osin Java on erittäin hyvälaatuista tekniikkaa.
Oracle laittoi rahaa tämän korjaamiseen, irroitti tähän resurssit Java 8:n julkaisusta jota siirrettiin myöhemmäksi ja rakensivat sen selainlisäosan ajamisen uusiksi, sekä laittoi koodari armeijan käymään koodia läpi ja korjasivat niitä vikoja. Se selainlisäosa on ns. vanhaa tekniikkaa, ja kävi turhaksi joskus 6-8v sitten. Eipä sitä enää tarvitse oikein missään, että ei pitäisi olla ongelma sallia sitä vain siellä yksittäisessä palvelussa missä eivät ole muuttaneet järjestelmiä nykyaikaan vielä.
Hyvin hoitivat hommat, sillä ovat olleet pitkään siinä 3kk turvapäivityssyklissä ja Windowsin aukoista on viimeisen puolen vuoden aikana uutisoitu paljon enemmän.
"Kun yksikin työohjelma edellyttää Windowsia, niin on turha lähteä kompleksisioimaan elämäänsä muiden käyttöjärjestelmien kanssa."
Lähes kaikissa yleisissä järjestelmissä on vastaavalla tavalla reikiä. Ainoa poikkeus tähän lienee Android, joka on oikeasti hyvin suojattu. Android on tehty vastaavalla tavalla kuin muutkin, eli ei ole varmistettu sitä aukottomuutta mutta on sitten sellainen kikka, että siinä on rakennettu niitä oikeuksien rajauksia moneen kerrokseen ja kaikkea mahdollista on rajattu ja eristetty, että vaikka vikoja onkin koodissa niin harvemmin löytyy sellaisia vikoja joita tarvisi paikata koska oikeuksia on rajattu niin monessa kohtaa.
Tärkeämpää onkin ne sovelluskaupat yms. jossa turvallisuutta on valvottu, että kuluttajan ei tarvitse vaivata niin paljoa päätään sillä onko jokin luotettava vai ei. Ei niinkään turvapäivitykset, niitä tulee kyllä joka kuukausi johonkin.
Windows 7:n vaihtaminen uudempaan on ajankohtaista n. 3v kuluttua. Käyttämäsi työohjelma menee siinä yhteydessä todennäköisesti uusiksi ja siihen kannattaa varautua etukäteen. Javan selainlisäosasta ei tarvitse välittää, nämä on viimeisiä kuukausia kun sitä vielä on käytössä missään kun vanhoja järjestelmiä kirjoitetaan uusiksi. Javan selainlaajennusjutut kun eivät nimittäin toimi kuin rajoittamattomissa ympäristöissä joita käytetään ammattikäytössä. Esim. nykyisessä Windowsissa se ei toimi enää kuin kikkailemalla.
Ja tosiaankin, Javahan on siellä pankin omissa järjestelmissä usein kovassa käytössä. Turvallisuus on yksi syy.
>> Windows 7:n vaihtaminen uudempaan on ajankohtaista n. 3v kuluttua. Käyttämäsi työohjelma menee siinä yhteydessä todennäköisesti uusiksi
Edelleen käyttämäni työohjelma toimivat tarvittaessa edelleen vaikka XP:llä sillä ko. ohjelmat eivät ole random-materiaalia ja niihin tehtävät parannukset toteutetaan suurella harkinnalla.
Lisäläppärin hankin W7 Pro:lla tarkoituksena skipata W8 kokonaan ylitse, kuten siirryin XP Pro:sta suoraan W7 Pro:n
Tulipa mieleen ylempänä olevasta tietoturvaan liittyvistä seikoista, selaimen ja Javan "nuskinta" mahdollisuudet jne.
Missä määrin niiden kovon nuuskintaa rajoittaa jos asentaa selaimen tikulle ja toimii siltä käsin?
"Edelleen käyttämäni työohjelma toimivat tarvittaessa edelleen vaikka XP:llä sillä ko. ohjelmat eivät ole random-materiaalia ja niihin tehtävät parannukset toteutetaan suurella harkinnalla."
Niin, mutta Windowsissa nuo yhteensopivuudet muuttuvat, että niitä ohjelmia tarvitsee päivittää. Toisekseen, ei ole mitenkään varmaa että Windows 9:n pienyritys/kuluttajaversiot mahdollistaisi mitään Windows 7:ssa toimivia ohjelmia koska niiden ohjelmien jakelu ei tapahdu kontrolloidun sovelluskaupan kautta. Uudet Windows sovellukset tehdään Windows 8:ssa lanseeratulle WinRT rajapinnalle joka on ihan eri juttu kuin vanhojen Windowsien Win32 ja .NET rajapinnat.
Microsoft ei kyllä varmastikaan lopeta Win32 rajapinnan tarjoamista "ikinä", mutta se saattaa olla vain jossain kalliimmissa Windowsin "embedded", "enterprise" tai "ultimate" versioissa.
Se tarkoittaa sitä, että jos työsovellustasi ei tehdä uusiksi uudelle rajapinnalle, seuraava päivitys voi olla huomattavan arvokas jos sen sovelluksen joutuu päivittämään yhteensopivaksi sekä joutuu vielä investoimaan enemmän siihen Windows koneeseen.
"Lisäläppärin hankin W7 Pro:lla tarkoituksena skipata W8 kokonaan ylitse, kuten siirryin XP Pro:sta suoraan W7 Pro:n."
Fiksu ratkaisu. Ja n. 3v kuluttua on sitten Windows 9 valmis ja korjattu ja aika siirtyä siihen. Loput Windows 7:n tukiajasta on lähinnä joustoa varten.
"Missä määrin niiden kovon nuuskintaa rajoittaa jos asentaa selaimen tikulle ja toimii siltä käsin?"
Ei mitenkään, enkä nyt ole sanonut että sitä kiintolevyä mitenkään nuuskittaisiin. Se edellyttäisi sitä, että esim. Internet Explorer, Firefox, Google Chrome jne. tekisi tälläistä tahallisesti. Selaimella (ei Javalla) ajettavia ohjelmia selain rajailee sitten, että selain estää niitä kirjoittamasta mihin tahansa kiintolevylle. Tämän kiertäminen edellyttäisi tietoturva-aukkoa selaimessa mikä mahdollistaisi tempun.
Jos ei jostain syystä luota selaimeen mutta luottaa käyttöjärjestelmään, niin sitten oikea tapa olisi tehdä ns. epäluotettavalle ohjelmalle oma rajoitettu käyttäjätili jossa ohjelmaa ajaa eikä missään vaiheessa anna ohjelmalle asennusvaiheessakaan pääkäyttäjän salasanaa. Silloin käyttöjärjestelmä suojaa sen, että ei pääse mellastamaan. UAC asetus kannattaa Windows 7:sta toki laittaa täysille koska se on oletuksena typerästi sellainen että klikkauksella voi kuitata salasanan antamisen. Silloin se on oikeasti hyvin suojattu eikä pysty tekemään mitään toisille käyttäjätileille eikä sotkemaan järjestelmää.
>> Toisekseen, ei ole mitenkään varmaa että Windows 9:n pienyritys/kuluttajaversiot mahdollistaisi mitään Windows 7:ssa toimivia ohjelmia...
Koen aivan tarpeetomaksi jossitella ja luoda itse itselleen "IT-ahdistusta" vaan toimin aina tilanteen vaatimalla tavalla. Asia kerrallaan. Kuten mainitsin niin ajatus on skipata W8 kokonaan ylitse ja katselen sitten tilannetta uudestaan.
Windowsia käytän aina luotujen rajoiettujen tilien kautta joilla kaikilla salasnansa (rajattu suoja toki) ja Admi luonnollisestikin myös salasanan takana. Ohjelmia ja päivityksiä asentaessa salasana tarpeen, tapauksesta riippuen.
Tuota "tikku-selain-asiaa" (mahdollista lisäsuojaa) ajattelin mm. siltä kannalta, että senhän ei pitäisi jättää edes jälkiä koneelle, vaikka tokihan se valitsemansa W7-tilin kautta nettiin meneekin.
"Koen aivan tarpeetomaksi jossitella ja luoda itse itselleen "IT-ahdistusta" vaan toimin aina tilanteen vaatimalla tavalla."
Se vähän riippuu siitä kuinka paljon jollain ohjelmalla on merkitystä. Jos ohjelma on oikeasti kriittinen niin tilanteen vaatima tapa on silloin ennakoida. Jos sen voi vaihtaa alle tunnissa ja pienellä rahasummalla niin sitten ei varmastikaan ole mitään väliä.
"Ohjelmia ja päivityksiä asentaessa salasana tarpeen, tapauksesta riippuen."
Jos ohjelma kysyy asennettaessa salasanaa, annat silloin täydet valtuudet vaikka tuhota kaiken kiintolevyltäsi. Se ohjelma saa täysin samat oikeudet kuin mitä on pääkäyttäjällä. Eipä se järjestelmänvalvojana mitään salasanoja kysele kun alkaa poistelemaan tiedostoja..
Höpö höpö. Kyseessä on itä-eurooppalainen moottoripyörä-sovellus, jolla voi päivittää esim. omistajavaihdoksen tapahtuessa henkilötiedot viranomaisrekistereihin käyttämällä pankkitunnuksia. Sovellus käyttää 163-bittistä V2-suojausta, joka on kehitetty ruotsalaisen Platformen -firmassa vuosituhannen vaihteen tienoilla. Versio 7 julkaistiin Windows 7:n julkaisun yhteydessä yhteistyössä Microsoftin ja Applen kanssa ja ko. tuote voitti "Vuoden sovellus" -kilpailun (tuomareina toimivat kansainvälisten MP-kerhojen presidentit.