Güvenlik Tavsiyesi: Java kullanırken dikkatli olun

Java neredeyse her bilgisayarda yüklüdür. Java platformunda keşfedilen kritik güvenlik açıklarının düzenli olarak hackerlar tarafından duyurulduğu dikkate alındığında, bu bariz bir güvenlik riskidir. Amma velakin, çoğu kullanıcı Java'ya ihtiyaç bile duymaz, ne var ki Java'yı da kaldırmaz. Bu da trajikomik bir durumdur.

Java diliyle yazılmış programlar, Windows, UNIX, Mac işletim sistemi yüklü bilgisayarlarda hiç bir değişiklik yapmayı gerektirmeden çalışabilmektedir, aynı şekilde, yazılan kod hiç değiştirmeden  cep telefonunda da çalışır. “Bir uygulama yaz, her cihazda çalıştır.” presibiyle Java, bilgi işlem dünyasına yepyeni bir anlayış getiren bir platformdur. Böylesine popüler platformda sürekli olarak keşfedilen kritik güvenlik açıkları, bir milyarın üzerindeki bilgisayar kullanıcısını tehdit etmektedir ve bu durum da sürpriz olmasa gerek.


Java ve JavaScript - Aralarında büyük bir fark var

Her iki kelime yakından ilişkili gibi gelebilir ama aslında değiller. Java, programlar için tam bir programlama dili veya bilgi işlem platformu iken, JavaScript adından da çıkarsama yapacağınız üzere bir scripting dilidir. Scripting dilleri oldukça küçük görevleri, özellikle tarayıcı içinde çalıştırmak için çoğunlukla kullanılır. Bir web sitesinin bir parçası olarak JavaScript'in, bilgisayarınızın dosya sistemine genellikle erişimi yoktur ve JavaScript herhangi bir programı çalıştıramaz veya dosyalar oluşturamaz. Java, diğer taraftan, bunları yapabilir. Java uygulamalarını çalıştırmak temelde bilgisayarınızdaki sıradan bir programı başlatmak gibidir, ki bu elbette, sistem dosyalarını değiştirmeyi de içerir.

Bir taraftan, Java programları bilgisarınızda yerel olarak çalıştırılabilir ve diğer taraftan
Javayı destekleyen bir tarayıcıdaki sözde java uygulamacığı (applet) olarak çalıştırılabilir. Java uygulamacıkları, basit HTML kodu aracılığıyla ile bir web sayfasına gömülüdür:

Bu HTML kodu ile web sayfasına erişirken, "javaprogram" olarak adlandırılan Java uygulamacığı, bilgisayarınızda çalıştırıldığı yere web sunucusundan yüklenir. Java uygulamacıkları genellikle bir web sitesinin, yerel dosyalara veya bilgisayarınızın donanımına erişimi gerektirdiğinde kullanılır.



Java neden çok tehlikeli? Java'ya gerçekten ihtiyacım var mı?

Kullandığınız tarayıcı ve tarayıcı ayarlarına bağlı olarak, Java'ya getirilmiş çeşitli güvenlik kısıtlamaları olabilir, ancak Java ortamındaki veya tarayıcınızın kendi içindeki güvenlik açıkları (exploits) vasıtasıyla mevcut kısıtlamalar sıklıkla atlatılabilmektedir. Varsayılan olarak, Java uygulamacıklarının, tarayıcının dışındaki diğer programlar ile etkileşim etmesi ve bilgisayarınızdaki dosyalara erişimi kısıtlıdır. Lakin, eğer bu kısıtlamalar bir güvenlik açığı tarafından atlatılırsa, işte o zaman sisteminiz ardına kadar herkese açık olabilir.


Java’nın güvenlik açığı ne ifade ediyor?

Hacker’lar bireylerin bilgisayarları, cep telefonları ya da herhangi bir cihazlarına erişerek tüm verilerini ele geçirebilir. Bunun yanında hacker isterse kullanıcının sahip olduğu cihazdaki video kamerayı da aktive edebilir.
Java'nın güvenlik açığından yararlanarak bir bilgisayarın tüm kontrolünün nasıl ele geçirildiğini gösteren güzel bir örnek video (sadece eğitim amaçlı olarak paylaşılmıştır !).

 Güncel Java sürümü de saldırıya açık sayılır

Java'nın arkasındaki isim olan Oracle, sürekli bir yama diğer ifade ile güvenlik güncelleştirmesi yayınlıyor olsa da, sistemenize tam erişim kazanmak için yeni açıklar geçerli sürüm yada sürümlerde zaten keşfedilmektedir, yayınlanan güncellemeler yetersiz kalmaktadır. Güvenlik güncelleştirmelerinin genellikle birkaç haftalık yahut aylık bir gecikme ile yayımlandığındığı düşünüldüğünde, herhangi bir zamandaki güncel Java sürümünün savunmasız olabileceği anlamına gelir. Son zamanlarda keşfedilen tüm güvenlik açıklarının ortak bir yönü var: Güvenlik açıkları, yerel olarak yüklü Java programları ile ilgili olmayıp özellikle tarayıcı Java uygulamacıkları ile ilgilidir.

Java uygulamacıkları, iş dünyası ortamlarında ve şirket iç ağlarında öncelikle kullanılır. Özel bir kullanıcı olarak, JavaScript veya Flash kullanan web sitelerinle karşılaşmanız oldukça muhtemeldir. Masaüstü uygulamaları için durum biraz farklıdır. Java gerektiren pek çok belli başlı program vardır.





 Java güvenli bir şekilde nasıl kullanılır ?

• Hiçbir surette Java'ya ihtiyacınız yoksa, Java'yı sisteminizden kaldırın!

Bu işlem, Windows için Programlar menüsünden yapılabilir. Windows için Java yazılımını kaldırma yönergelerine http://www.java.com/tr/download/uninstall.jsp adresinden ulaşabilirsiniz.

• Eğer Java programları kullanıyorsanız, ancak tarayıcı entegrasyonuna ihtiyacınız yoksa, Java yazılımını web tarayıcınızdan devre dışı bırakın.

Bu işlemin nasıl yapılacağına dair yönerge http://www.java.com/tr/download/help/disable_browser.xml adresinde mevcuttur.

• Java'ya gereksinim duyuyorsanız, Java'nın her zaman güncel olduğundan mutlaka emin olun, yeni güncelleştirmeleri uygulamak için tereddüt etmeyin.

En son güncellemeyi indirmek için http://www.oracle.com/technetwork/java/javase/downloads/index.html adresini kullanabilirsiniz.
Dilerseniz otomatik güncellemeyi etkinleştirerek sisteminizde yeni Java sürümü olup olmadığını düzenli aralıklarla kontrol edebilirsiniz. (Java otomatik güncelleme nedir? Bildirim ayarlarını nasıl değiştiririm? Sorularının cevaplarına http://www.java.com/tr/download/help/java_update.xml adresinden ulaşabilirsiniz.)

• Java ön belleğinizi belirli aralıklarla mutlaka temizleyin.

Java eklentisinin ön belleğini temizlemek, tarayıcı, web sayfalarının ve programlarının en yeni sürümlerini yüklemeye zorlar.  http://www.java.com/tr/download/help/plugin_cache.xml adresinden Java ön belleği temizleme işleminin nasıl yapıldığına ulaşabilirsiniz.

• Bilinmeyen yayımcıların uygulamalarını asla çalıştırmayın.

Bilinmeyen yayımcıların uygulamalarını reddetme ayarlarının nasıl değiştirileceğini http://www.java.com/tr/download/faq/self_signed.xml adresinden öğrenebilirsiniz.

• Gerçek zamanlı koruma sağlayan bir güvenlik yazılımı kullan.

Kritik güvenlik açıklarını kapatmaya yönelik yamalar Oracle tarafından sürekli olarak yayınlanıyor ve bu esnada siz de vakit geçirmeden Java'yı güncelliyor olsanız da, yeni sistem açıkları bilişim korsanlarınca sürekli olarak aranmaktadır, ki bir açık sürekli bulunur. Bu kapsamda, Java’nın her zaman güvenlik zafiyeti yaşadığını kabul etmeliyiz. En kötü senaryo göz önüne alındığında, olası geri dönüşü olmayan bir  tehlike ile karşılaşmayı en aza indirmek için gerçek-zamanlı koruma sağlayan bir güvenlik yazılımı kullanmanız önemlidir, tavsiye edilir. Güvenlik yazılımları konusunda öneri ve tavsiyeleri http://doctus.org bilgi ve bilgisayar güvenliği sitesinden sağlayabilir, bilgi ve tecrübelerinizi paylaşabilirsiniz.

Güvenli günler.
http://securitykolik.blogspot.com/


* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *

Java hakkında:
Java teknolojisi hakkında detaylı bilgiye http://www.java.com/tr/download/faq/whatis_java.xml
adresinden ulaşabilirsiniz.
İşletim sisteminizde Java'nın yüklü olup olmadığını ve yüklü olan Java sürümünün güncel olup olmadığını http://www.java.com/tr/download/installed.jsp adresinden test edebilirsiniz.


Referanslar:
http://www.emsisoft.com/en/kb/articles/news130314/
http://www.java.com/tr/download/faq/tips.xml
http://www.btnet.com.tr/64164-java’nin-guvenlik-acigi-ne-ifade-ediyor.html

Önemli:
Bu makale Securitykolik blogu okuyucuları için derlenip hazırlanmıştır.
Yazılardan memnun kaldıysanız, (kaynak göstermek suretiyle) yazıları paylaşabilir ve/ya konu ile ilgili yorumlarınızı yapabilirsiniz.