Oracle stellt Maßnahmen für mehr Java-Sicherheit vor

Oracle hat Schritte angekündigt, um die Sicherheit von Java vor allem für Firmen zu erhöhen. Eine zentrale Richtlinienverwaltung und eine Möglichkeit, weiße Listen vertrauenswürdiger Applets zu erstellen, sollen „die Ausnutzbarkeit und die Gefahr minimieren, die von potenziellen Java-Schwachstellen in Desktop-Umgebungen ausgeht.“ Außerdem handle es sich um „zusätzliche Schutzmaßnahmen für den Einsatz von Java in Server-Umgebungen“, schreibt Nandini Ramani in einem Blogbeitrag.

Im Fokus des Beitrags steht die „Schutzwürdigkeit von Java“. Indirekt nimmt er auf erfolgreiche Angriffe auf Firmen wie Apple, Facebook und Microsoft Bezug, die Anfang des Jahres ungepatchte Schwachstellen im Web-Plug-in für Java ausnutzten. Die Schuld daran gibt Oracle überwiegend dem früheren Java-Besitzer Sun Microsystems: Oracle habe seinen eigenen Zeitplan einführen müssen, um Probleme in „der Reihenfolge von Prioritäten“ zu lösen und „innerhalb einer bestimmten Zeitspanne.“

Ramani weist zudem darauf in, dass die Java-Entwicklungsabteilung seit der Übernahme von Sun durch Oracle im Jahr 2010 „die Produktion von Security-Fixes deutlich beschleunigt“ habe. Den Zeitplan für Patches werde man bis Oktober noch einmal verdichten, wie Oracle dies auch bei anderen Produkten handhabe. Der Bekämpfung von Schwachstellen dienen Ramani zufolge zudem neue Werkzeuge, die durch Quelltextanalyse bestimmte Arten von Anfälligkeiten ermitteln.

Für den Einsatz von Java in Firmen gibt es die genannten zwei wichtigen neuen Funktionen. Man reagiere damit auf „Bedenken bei Firmen, die Java-Anwendungen auf Servern einsetzen“ – und trenne jetzt schärfer zwischen browserbasiertem sowie serverbasiertem Java. Mit Java 7 (Update 21) heißt die einschlägige Distribution „Server JRE“ und umfasst kein Browser-Plug-in mehr. Auch Auto-Updates und der Installer fallen weg, die für die Heimanwender-Version typisch sind.

Firmen mit Java-Anwendungen können Java auf dem Client natürlich nicht abschalten. Doch hier gibt Oracle Administratoren mehr Kontrolle an die Hand. So sind weiße Listen vertrauenswürdiger Applets möglich, die sich zudem zentral verwalten lassen. Auch verringere man die Gefahr deutlich, dass sich Java-Malware von Desktops auf Server verbreite, schreibt Ramani.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.