2012年11月13日

[セキュリティ] 2012/10のJDK/JRE脆弱性を利用した攻撃の存在を確認

まぁ、健全な皆様は普段はJavaアプレットオフにして、アップデートは毎日チェックが
当たり前なので、問題ないかもしれませんがね、
将棋倶楽部24に熱中しすぎてJavaアプレットオフを忘れてしまうとかいう失態を行うことも
あるわけですよね。
まぁ、俺なんだが。(攻撃コードは踏んでないよ)

https://www-304.ibm.com/connections/blogs/tokyo-soc/entry/java_20121112?lang=ja_jp

これに出てくるランサムウェアってのは身代金要求型マルウェアのこと。
分かりやすく言うと
「きさまの大事な大事な彼女(嫁でも子供でも大事なものと置き換えてくれ)の写真はロックした!
返して欲しくば金はらえ!」
的な極めて姑息な攻撃をする。

しかし、普段Javaで飯喰わして貰ってる俺が言うのもなんだが、
アプレットって本当にまだ要る技術なのかなぁ・・・(´-ω-`)
確かにmake at once , do any ware の効果は大きい。
いろんな環境で使われることが想定されるようなものを各バージョン毎に用意するのはナンセンスだしね。
しかしローカルアプリならまだしも、アプレットである必要が本当にあるのかな。
WEBサーバー機能だけ持たせておいて、jarのダウンロード、あとは起動方法のリンクだけ書いておくとか。
でもそうすると、クリック一つで管理コンソールが起動する、というメリットが消えてしまい
いちいちダウンロード+コマンドという手間が必要になる。これを受け入れがたい現場とかも確かにあるんだろうなぁ。一度普及してしまったものはそう簡単には無くせない。

一方Appleはjavaのサポートを見限った。
http://developer.apple.com/library/mac/#releasenotes/Java/JavaSnowLeopardUpdate3LeopardUpdate8RN/NewandNoteworthy/NewandNoteworthy.html

意訳
appleはもうしらん。oracleから勝手にダウンロードしてやれ。

まぁ、何にせよJREを消せない人は、
 (1)普段はアプレットオフ
 (2)こまめなアップデート
 (3)大事なファイルが有る(それへアクセスできるも同じ意味)マシンでぁゃιぃサイトへ行かない

これぐらいの古典的対策しか無いのが現状。
ゼロデイもあるので、ノートン先生やマカフィーがあればおkとはいかないんだなぁ。


posted by koteitan at 18:44| Comment(0) | TrackBack(0) | セキュリティ | このブログの読者になる | 更新情報をチェックする

網膜モデルゲットだぜ

日本語にするとグロい件について

MPPretina

なかなか、操作に手間取るわぁ・・。
posted by koteitan at 14:01| Comment(0) | TrackBack(0) | 日記 | このブログの読者になる | 更新情報をチェックする