Hvis du ikke kan deaktivere java, hva kan du gjøre?

Java er under angrep.

Ikke bare fra de svarte hattene som lager drive-by-nedlastinger, ondsinnede vedlegg og andre angrep som utnytter sårbarhetene i teknologien, men også fra de hvite hattene som hevder at brukerne ikke skal bruke det i det hele tatt. Selv etter at Oracle lappet den siste bunken med null dagers sårbarheter i Java, anbefalte Department of Homeland Securitys Computer Emergency Readiness Team (US-CERT) brukere å slå av Java.

I likhet med Adobes Flash er Java et populært mål på grunn av den enormt store installerte basen. Hvis du virkelig ikke bruker nettsteder som krever Java, kan du fortsette og dumpe det. Vi har til og med et fint sett med instruksjoner om hvordan du deaktiverer Java i nettleseren din.

Men jeg bruker Java!

Deretter er det resten av oss som faktisk bruker Java regelmessig.

"Jeg tviler på at alle som tar hensyn til sikkerhetsråd, kjører Java, IE 6/7/8, m.fl. fordi de vil - vi kjører disse tingene fordi vi må, og beslutningen er utenfor vår kontroll, " sikkerhetsguruen Jack Daniel skrev på Uncommon Sense Security.

Da jeg så meg rundt for å se hvilke applikasjoner som brukte Java, skjønte jeg at mange populære desktop-applikasjoner passet på regningen, inkludert Office-alternativer, ThinkFree Office, LibreOffice og OpenOffice, samt populære spill som Minecraft. Flere Adobe-applikasjoner krever også at Java skal kjøre visse komponenter. Ingenting å bekymre deg for, da dette er frittstående Java-applikasjoner, og ikke de som kjører i nettleseren.. Hvis du fulgte trinnvise instruksjoner, deaktiverte du Java bare i nettleseren. Lokale applikasjoner vil fortsatt gå bra.

Men det viser seg at det er mange spillsider og virksomheter som fremdeles bruker Java. Spesialiserte banktjenester, som Citi Private Bank, som kombinerer investering og tradisjonell bankvirksomhet til en konto, ser ut til å være et eksempel. Skytjenester som Box.net driver opplastingsverktøy for bulkfiler med Java. Citrix og Cisco tilbyr begge klientløse SSL VPN-produkter, som lar brukere etablere en sikker, ekstern tilgang til VPN-tunnel ved hjelp av en Java-aktivert nettleser.

Er du student? Sjansen er stor for at din skole bruker Blackboard, som krever den nyeste versjonen av Java-plugin for å laste opp filer og vedlegg, bruke sanntidschattfunksjonen Virtual Classroom og for å aktivere visse interaktive funksjoner på plattformen.

Pogo.com og KidsPlayPark.com tilbyr online Java-spill. Mange Pogo-brukere, som er bekymret for de siste truslene, ser ut til å ha erstattet Java 7 med Java 6 (som Oracle ikke lenger vil støtte etter februar), ifølge innlegg på brukerforaene. Bare så du vet, det er en fantastisk dårlig idé. Det er mange angrep som er målrettet mot utdatert programvare; det er ikke nødvendig å risikere et helt annet angrep bare for å unngå den nyeste avlingen.

Hva er alternativene for IT?

"Hvis du har noen forretningskritiske applikasjoner som krever Java: prøv å finne en erstatning, " skrev SANS Institutt Johannes Ullrich på Internet Storm Center-bloggen forrige uke.

Webkonferanseplattformer ser ut til å være de største veisperringene. Ciscos WebEx og Citrix GoToMeeting krever tidligere Java, men begge plattformene har nylig endret applikasjonene sine for å bruke en annen versjon hvis de ikke finner Java. Citrix sa at det var i ferd med å utfase Java helt. Andre i rommet, deriblant MeetingBurner og Brother's OmniJoin, bruker fortsatt Java. Join.me, ClickMeeting og ReadyTalk er Flash-baserte.

Selv om verktøy for ekstern tilgang tidligere har vært hovedsakelig Java-basert, er det en voksende liste over alternativer som kan brukes til teknisk support, sa Chet Wisniewski, sikkerhetsrådgiver for Sophos, til SecurityWatch . Eksterne desktop-klienter er også innebygd i Mac OS X og Windows.

"For å støtte mamma og pappa, bruker jeg gratisversjonen av LogMeIn, " sa han. LogMeIn Free bruker ActiveX.

Hva om jeg ikke kan bytte?

For mange virksomheter, "er det ikke noe alternativ, " sa Thomas Kristensen, CSO for Secunia, til SecurityWatch . Selv om det kan være mulig å erstatte noen applikasjoner, vil administratorer generelt sett måtte komme på andre måter å beskytte sine ansatte. En måte å redusere angrepsflaten på er å aktivere Java bare for de som faktisk trenger det og deaktivere det for alle andre, sa Kristensen.

I stedet for å gi ansatte beskjed om å slutte å bruke Java, bør organisasjoner fokusere på "bobleplast" for å beskytte brukere, fortalte Invinceas Anup Ghosh til SecurityWatch . Brukere kan surfe på nettet via en virtualisert nettleser, og hvis de støter på ondsinnede nettsteder, ved et uhell åpner en booby-fanget fil, eller prøver å laste ned skadelig programvare, vil det virtuelle miljøet hindre at angrepet kjøres på selve maskinen. Det andre den virtuelle nettleseren er lukket, blir angrepet fjernet. Og best av alt, en virtuell nettleser vil beskytte deg mot et bredere spekter av trusler, ikke bare Java-baserte.

Brukere kan ta i bruk et system med to nettlesere. Hvis du vanligvis surfer på Internett med Firefox, kan du for eksempel vurdere å deaktivere Java-plugin i Firefox. Aktiver deretter Java i en alternativ nettleser som Chrome, IE9, Safari, etc., og bla bare til nettsteder som trenger Java og aldri for generell websurfing.

"Det er best å aktivere Java i en nettleser og bare bruke den nettleseren til nettsteder som ikke vil fungere uten den, " sa Wisniewski.

Angripere liker å endre mål - Flash, Internet Explorer, Adobe Reader. "Alle har en null dag på et eller annet tidspunkt, " skrev Metafores Rob VandenBrink på Internet Storm Center.

Å deaktivere Java er bare en måte å forsvare seg mot trusler på nettet, men ikke en universell løsning. Organisasjoner kan begrense eksponeringen og ta i bruk sikkerhetspraksis, for eksempel webfiltrering og å la brukere kjøre med begrensede privilegier, for å blokkere angrep, sa han.

"Slutt å peke på fingeren og komme med anbefaling av tepper som ikke kan følges, " skrev VandenBrink.

For mer fra Fahmida, følg henne på Twitter @zdFYRashid.