'Java tietoturva..

Tohon kysymykseen ei voi antaa ihan selkeää vastausta, koska mulla ei ole tietoa selaimesi tietoturva-asetuksista. Anyway, nämä pyydetyt erioikeudet voivat olla mm.:

1. Antaa appletille (java-sovellus) oikeus ottaa yhteys siihen palvelimeen, josta se on alunperin ladattu. Joissain selaimissa tämä on oletusarvoisesti hyväksytty ja joissain taas ei. Mikään suuri tietoturvariski tämä ei kuitenkaan ole, koska ilman erillistä lupaa appletti ei voi esim. lukea tietoja sun koneelta ja lähettää näitä tietoja eteenpäin.

2. Antaa oikeus ottaa yhteys johonkin muuhun palvelimeen kuin mistä se on ladattu. Tietoturvariskinä tämä on suurinpiirtein yhtäläinen ym. kanssa.

3. Antaa oikeus lukea tiedostoja koneesi kovalevyltä. Tämä on pirun vaarallista ja suuri tietoturva riski etenkin, jos sovelluksen tekijästä ei ole mitään tietoa ja et tiedä mitä tietoja se sieltä lukee.

4. Antaa oikeus kirjoittaa tietoja koneesi kovalevylle. Aivan sairasta antaa tälläistä oikeutta tuntemattomalle sovellukselle oli se allekirjoitettu tai ei, koska tällöin sovellus voi käytännössä tehdä koneellasi mitä lystää.


On hyvinkin todennäköistä, että siinä erioikeuksia pyytävässä dialogissa ei mainita tarkalleen mitä oikeutta sovellus pyytää ja siksi siihen kannattaa vastata "Ei" tai "No". Nähdäkseni sovellus yrittää käynnistyä tästä huolimatta ja mikäli se rikkoo selaimesi tietoturvamääräyksiä se tullaan sulkemaan java.security.manager:in toimesta.

Ja mikäli Javan turvallisuus manageri sulkeekin tämän sovelluksen niin se ei välttämättä ole mikään varma merkki viruksesta, troijalaisesta tms. haittaohjelmasta, koska selaimesi tietoturva-asetukset voivat vaan olla liian tiukat sovelluksen toiminnan kannalta (itsetyydytyschat-ohjelma haluaa yhtyden palvelimeen ollakseen yhtydessä johonkin toiseen runkkariin tms.).

Siksi suosittelen, että oikeuksien myöntämisen sijasta alennat selaimesi tietoturva-asetuksia sellaiselle tasolle (medium tms.), että sovellus voi ottaa yhteyden palvelimeen ja mikäli se ei tästäkään huolimatta toimi, unohdat koko ohjelman ja tyydytät itsesi perinteisellä tavalla.

Toivottavasti vastaukseni oli riittävän yksinkertainen ja selkeä, koska oikein muutakaan simppeliä tapaa selittää Javan tietoturvan hienouksia ei oikeastaan ole. Javassa on kuitenkin mahdollista asentaa omia sertifikaatteja, myöntää tätä vastaavalla sertifikaatilla allekirjoitetuille ohjelmille eri oikeuksia (java.util.PropertyPermission, java.io.FilePermission, java.io.SocketPermission) ja jopa kirjoittaa omia Permission-luokkia, mutta tämän asian ymmärtäminen ilman Javan tietoturvan perusteellista tuntemusta ei ole mitenkään mahdollista. (Oman arvioni mukaan koko Suomesta ei edes löydy kovin montaa koodaria, jotka asian hanskaavat ja siksi tämä typistetty selitys ko. asiasta.)

-Jonttu-