"Sun Java -kehitys- ja ajoympäristöistä (JDK, SDK ja JRE) on löytynyt haavoittuvuuksia, joita hyväksikäyttämällä hyökkääjä voi lisätä Java-sovelluksensa tai -sovelmansa oikeuksia käyttäjän koneella. Osa haavoittuvuuksista tekee mahdolliseksi käyttäjän tiedostojen lukemisen ja kirjoittamisen, osa ajoympäristön kaatamisen ja osa hyökkääjän komentojen ajamisen käyttäjän koneella."
Lähde: http://cert.fi/haavoittuvuudet/2008/haavoittuvuus-2008-89.html
"Uhrin tiedostot luettavissa Javalla"
Lähde: http://www.digitoday.fi/tietoturva/2008/07/10/uhrin-tiedostot-luettavissa-javalla/200818228/66
Lähde: http://cert.fi/haavoittuvuudet/2008/haavoittuvuus-2008-89.html
"Uhrin tiedostot luettavissa Javalla"
Lähde: http://www.digitoday.fi/tietoturva/2008/07/10/uhrin-tiedostot-luettavissa-javalla/200818228/66
Vastaukset 7
Vanhimmat
ei ole nordealla sen helpompaa siinä vaiheessa kun porukka rupes kyllästymään sampopankin toilailuun niin nordean verkkopankissa rupes mato luikertelemaan
Olisikin mukava tietää mistä näkee Sampopankin sovellusversion numeron eli voiko sen päivittymistä seurata? Java-version numero kyllä löytyy mutta pankkihan tarkastaa jokaisen kirjautumisen yhteydessä onko uusin versio koneella.
Tuo haavoittuvuus onkin jo sen verran paha eli pankki voi listata koneeltasi kaiken. Ja moni muu myös...
Sampopankin toteutus ei edes tarvitse mitään Javan haavoittuvaisuuksia, sillä siinä kaiketi käytetään suoraan JNI- eli "Java Native Interface"-kutsuja, joilla todellakin pääsee tekemään kutakuinkin mitä tahansa. Juuri tämän takiahan selainkin varmistaa kysymyksellä "Always trust content from Sampopankki"... saako koodin ajaa.
Sampopankille kysymys: Jos käytetään alustariippumatonta Java-kieltä systeemin rakentamiseksi, niin MIKSI IHMEESSÄ sinne pitää tarkoituksellisesti tunkea JNI-kutsuja mukaan?
Sampo Pankin verkkopankki käyttää Java-ohjelmaa esimerkiksi sisäänkirjautumisessa ja verkkoon kohdistuvien turvallisuusuhkien torjunnassa.
http://www.sampopankki.fi/fi-fi/Henkiloasiakkaat/Verkkopankki/Asiakastuki/Pages/Tekniset-vaatimukset.aspx
Tuolla kerrotaan noin. Täällä sanotaan näin:
Yleisestä Java-ohjelmistosta on löytynyt tietoturva-aukko, johon ei ole korjausta. Tietoturva-asiantuntijat odottavat, että verkkorikolliset käyttävät sitä pian tietovarkauksiin. Javan haavoittuvuus vaarantaa sekä Windows-, Mac- ja Linux-käyttöjärjestelmiä käyttävät tietokoneet.
http://www.iltasanomat.fi/digi/art-1288495211807.html
Sampopankkiin mentäessä on pakko käyttää Javaa.
Käytyäsi pankissa sammuta selain ja käynnistä ilman Javaa.
Selainta on hyvä käyttää ilman Javaa.
http://www.digitoday.fi/tietoturva/2012/09/26/uhka-miljardille-koneelle-javasta-loytyi-taas-kriittinen-haavoittuvuus/201238579/66
Yksi hyvä toimintatapa netissä on se, että pysyttelee kokonaan pois Javaa vaativilta sivuilta.
Juuri näin. Asia on havaittu maailmalla ja sen mukaan toimitaan.
http://www.tietokone.fi/uutiset/paivitys_haataa_javan_macin_selaimista
"Javan tietoturva on rakoillut pahasti, ja Apple haluaa lopullisesti eroon Javaan liittyvistä ongelmista."