Java, certificati senza certificazione

Un altro problema affligge la piattaforma Java: questa volta più che di una vulnerabilità si tratta di una policy scarsamente attenta alla sicurezza nel controllo dei certificati digitali

Roma – Non bastasse la già problematica tendenza di Java a mettere in mostra vulnerabilità e falle zero day, un nuovo rischio per la virtual machine di Oracle arriva ora dagli archivi JAR firmati digitalmente con certificati revocati. Certificati che, a quanto pare, Java non si prende il disturbo di controllare a dovere.

Un archivio JAR contiene tutto il necessario a eseguire una applet Java dopo il download tramite browser web, e quello identificato da Eric Romang sul sito di un dizionario tedesco online ( dict.tu-chemnitz.de ) è risultato essere infetto con il kit di exploit g01pack .

Il codice malevolo viene camuffato da aggiornamento di sicurezza legittimo (“ClearWeb Security Update”) firmato digitalmente da Clearsult Consulting, chiedendo all’utente di autorizzare l’esecuzione. Ma una volta concessa l’autorizzazione, l’archivio JAR procede a infettare la macchina con il malware.

Il certificato risulta firmato con una chiave privata autentica ma rubata, e tale chiave è stata revocata il 7 dicembre del 2012. Ma Java non controlla la data di revocazione di un certificato a meno che non si sia stata abilitata l’opzione dal Pannello di Controllo di Windows, e quindi l’utente potrebbe essere tratto facilmente in inganno da una funzionalità di sicurezza – quella dei certificati digitali, appunto – usata per scopi diametralmente opposti a quelli originari.

I problema dei certificati rubati – o firmati digitalmente con chiavi non più valide – è di quelli che si fanno sentire in seno all’intera industria informatica, e in attesa che Java modifichi (ancora) le impostazioni di sicurezza di default è caldamente consigliato attivare la verifica di revoca dei certificati nella configurazione della virtual machine.

Alfonso Maruccia

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Eugenio Guastatori scrive:
    Grazie per l'informazione
    Mi premurerò di provvedere ad un paio di foto in primo piano del David di Michelangelo.
  • tmpmnit scrive:
    facebook
    Ma se su Facebook girano foto e video XXXXX e poi censurano una foto così banale sul lato erotico,che XXXXXXX
  • Aldo scrive:
    XXXXXgrafia?
    La XXXXXgrafia è un'altra cosa.Ipocriti e illetterati...
  • franziskane r scrive:
    corde
    sempre e comunque contro la censura, ma due tette, in qualsiasi salsa, mi toccano sempre più le corde del picio che le corde dell'anima.
  • Skywalkersenior scrive:
    Bacchettoni
    Se quella è XXXXXgrafia, allora viviamo tutti su un set di un film XXXXXgrafico visto quel che si vede liberamente per strada, nelle pubblicità.Quanta ipocrisia!
    • Leguleio scrive:
      Re: Bacchettoni
      - Scritto da: Skywalkersenior
      Se quella è XXXXXgrafia, allora viviamo tutti su
      un set di un film XXXXXgrafico visto quel che si
      vede liberamente per strada, nelle
      pubblicità.Ti riferisci a questa pubblicità in particolare?[img]http://cdn.blogosfere.it/cultura/images/gelato.jpg[/img]Se è così, il giurì di autodisciplina pubblicitaria ha ordinato il ritiro di quella campagna. Nemmeno più un gelato si può gustare.
  • Il MOIGE scrive:
    Giusto
    Ma quale valore artistico, le immagini di corpi nudi non hanno nessun valore artistico! :@In fede,Il MOIGE
    • thebecker scrive:
      Re: Giusto
      - Scritto da: Il MOIGE
      Ma quale valore artistico, le immagini di corpi
      nudi non hanno nessun valore artistico!
      :@

      In fede,
      Il MOIGESiete solo dei depressi e bachettoni che cercano uno modo per lasciare i propri figli davanti ad uno schermo e levarvi ogni responsabilità! :@
      • bARABBAN3_o ff scrive:
        Re: Giusto
        C'è un motivo particolare per il quale avrei necessità d'aggiungermi responsabilità ?
        • thebecker scrive:
          Re: Giusto
          - Scritto da: bARABBAN3_o ff
          C'è un motivo particolare per il quale avrei
          necessità d'aggiungermi responsabilità
          ?Se non vuoi responsabilità non fare figli, ma non delegare i tuoi compiti ad un sistema di censura, il passo è breve verso un regime. Cerca di capire il mondo in cui vive tuo figlio e la tecnologia. In questo modo puoi evitare che tuo figlio piccolo si connette da solo ad internet sena limitare la libertà degli adulti.
          • bARABBAN3_o ff scrive:
            Re: Giusto
            Grazie, corro a vedere cosa fa. Mi sei stato molto utile.L'avessero saputo i nostri genitori prima... potevano evitare di fare figli e magari non saremo nemmeno qui a discuterne.
          • thebecker scrive:
            Re: Giusto
            - Scritto da: bARABBAN3_o ff
            Grazie, corro a vedere cosa fa. Mi sei stato
            molto
            utile.
            L'avessero saputo i nostri genitori prima...
            potevano evitare di fare figli e magari non
            saremo nemmeno qui a
            discuterne.non ho detto che esistono genitori perfetti ma ci sono quelli che cercano di impegnarsi e chi pensa che la censura e la limitazione della libertà degli altri sia la soluzione.Nessun è obbligato a vedere un sito che non gli piace.Nessun è obbligato a vedere contenuti che non gli piacciono.Ovviamente si parla di nudo, XXXXX e di contenuti creati da adulti consenzienti.
    • nazional socialisti scrive:
      Re: Giusto
      - Scritto da: Il MOIGE
      Ma quale valore artistico, le immagini di corpi
      nudi non hanno nessun valore artistico!
      :@

      In fede,
      Il MOIGESiamo d'accordo con il vostro movimento. Ci vuole più rigore e controllo, la censura è per il bene del popolo! Possiamo unire gli sforzi per un nuovo ordine mondiale. 8)
    • panda rossa scrive:
      Re: Giusto
      - Scritto da: Il MOIGE
      Ma quale valore artistico, le immagini di corpi
      nudi non hanno nessun valore artistico!
      :@Anche il moige non ha nessun valore artistico.Ma almeno un bel paio di tette le si guardano sempre volentieri, a prescindere dal valore artistico.
      • Il MOIGE scrive:
        Re: Giusto
        - Scritto da: panda rossa
        - Scritto da: Il MOIGE

        Ma quale valore artistico, le immagini di
        corpi

        nudi non hanno nessun valore artistico!

        :@

        Anche il moige non ha nessun valore artistico.Una volta e' stato chiesto a un esperto se il MOIGE avesse valore artistico e morale e la risposta e' stata "sì", chiaro? :@In fede,il MOIGE
        • panda rossa scrive:
          Re: Giusto
          - Scritto da: Il MOIGE
          - Scritto da: panda rossa

          - Scritto da: Il MOIGE


          Ma quale valore artistico, le immagini di

          corpi


          nudi non hanno nessun valore artistico!


          :@



          Anche il moige non ha nessun valore artistico.

          Una volta e' stato chiesto a un esperto se il
          MOIGE avesse valore artistico e morale e la
          risposta e' stata "sì", chiaro?
          :@Un'altra volta e' stato chiesto a ruppolo se apple fosse la soluzione migliore, e la risposta e' stata la medesima, e, curiosamente, con la stessa affidabilita'.
Chiudi i commenti