Oracle Java тільки патчі для вразливостей три (?) Раз на рік, але це не означає, що він не звільняє інших виправити помилку і особливості релізів майже повсюдно середовища виконання.
Минулого тижня Oracle Java 7 поставляється поновлення 10 (Java 7u10), останній в Java 7 серії, яка включає в себе нові елементи управління безпекою на додаток до виправити помилку і оновлені дані часових поясів.
Які ці нові елементи управління?
Для користувачів, що мають Java-додатків (як я!) Відключення веб-плагіна усуває більшість ризиків, пов'язаних з наявністю Java встановлена.
Якщо JRE вважається закінченим або небезпечно, додаткових попереджень безпеки відображаються на дисплеї. У більшості з цих діалогів, користувач має можливість блокувати запуск програми, для продовження роботи додатків, або для переходу до java.com для завантаження останньої версії.
На мій погляд, це трохи безпеку порядку. Не дозволяти користувачам вибирати варіанти, які свідомо помістити їх в дорогу шкоди. Як професіонали в галузі безпеки ми повинні перестати чекати користувачам для прийняття важливих рішень безпеки (сертифікат браузера попередження хто?).
Java 7u10 також вводить поняття рівнів безпеки. За замовчуванням рівень середньої, яка дозволяє ненадійних додатків для запуску Java, якщо ваш не буде виправлена, але тільки дозволить підписані додатки для запуску, якщо ви застарів.
Це страшне замовчуванням. На мій погляд, ви не повинні запускати Java-додатки без повідомлення і, звичайно, не слід запускати непідписані програми.
Навіть підписані додатки не може бути безпечним, якщо ваші Java вразлива. На щастя, є призначений для користувача варіант. який дозволяє вам налаштувати цю поведінку.
Я вважаю за краще, щоб відключити Java у Вашому браузері повністю, але якщо ви не можете, то я рекомендую не балотуватися на ненадійних додатків чи Java в актуальному стані чи ні.
Для локальних аплетів настройку підказки користувачеві буде сповіщати вас про те, що те, що використовує Java намагається запустити і забезпечити можливість блокувати його, якщо ви не навмисно виконання Java-коду.
Я думаю, це здорово, що робить Oracle Java більше параметрів і, можливо, вони будуть сприяти подальшому зміцненню настройки за замовчуванням в майбутніх випусках. Я рекомендую всім, оновлення і виберіть налаштування, які найбільше підходять для їхнього середовища.
Системні адміністратори повинні звернути особливу увагу на примітки Oracle реліз як є параметри командного рядка для розгортання Windows, управляти цими новими настройками. Було б подбати вам, щоб заблокувати їх вниз так сильно, як ви смієте.