OUCH! | Januari 2013 - Securing The Human

1
2
OUCH! | Januari 2013
In deze uitgave
• Wat is Java?
•
• Beveiliging
Java GAST AUTEUR
De gast auteur van deze editie is Arrigo Triulzi uit Geneve,
computer geïnstalleerd te worden, dit heet de Java Runtime
Zwitserland. Hij is een onafhankelijke software consultant
Environment.
met meer dan 25 jaar ervaring.
In deze nieuwsbrief leggen we uit wat de wat de gevaren zijn
van Java en wat je kan doen om je computer te beschermen.
INLEIDING
De term software wordt gebruikt om programma’s en
Let wel; Java en Javascript zijn twee heel verschillende
dingen. Deze editie behandelt uitsluitend Java.
applicaties aan te duiden die je op je computer kan
installeren en gebruiken. Voorbeelden van software zijn
Internet browsers, word processoren, email programma’s,
spelletjes en media spelers.
Het probleem met veel software is dat het voor één bepaald
platform geschreven is; software die geschreven is voor
Microsoft Windows, kan uitsluitend op een Windows PC
gebruikt worden, en dus niet op een Apple Mac. Andersom
kan Apple Mac software alleen op een Apple computer
WAT ZIJN DE RISICO’S?
Vaak schrijven cybercriminelen speciale programma’s die
proberen om misbruik te maken van kwetsbaarheden in
software op je computer. Deze kwetsbaarheden zijn vaak
computer-specifiek; dat wil zeggen dat ze bijvoorbeeld alleen
op Windows misbruikt kunnen worden, of alleen op een
Apple. Dit maakt het lastiger om aanvallen uit te voeren.
gebruikt worden en niet op een Microsoft PC.
Omdat Java ontworpen is om op vrijwel alle soorten
Java werkt anders; het is een computer taal die het mogelijk
computers gebruikt te worden, kan een cyber crimineel één
maakt dat een programmeur software schrijft die op veel
enkel programma maken om daarmee ‘alle computers’ aan
verschillende soorten computers gebruikt kan worden; dus
te vallen; zolang Java er maar op geïnstalleerd is. Dit zorgt
zowel op Microsoft Windows als op Apple Mac.
er voor dat Java zeer aantrekkelijk is voor cyber criminelen
Om er echter voor te zorgen dat een Java programma
omdat ze met minder moeite, veel meer computers kunnen
uitgevoerd kan worden op een computer, dient Java op de
aanvallen. Tevens is Java relatief complex; als gevold
© The SANS Institute 2012
http://www.securingthehuman.org
4
3
OUCH! | Januari 2013
Java
daarvan zitten er ook relatief veel kwetsbaarheden in.
Tenslotte weten veel mensen niet wat Java is, en of het
überhaupt op hun computer geïnstalleerd is. Dit alles maakt
dat het misbruiken van kwetsbaarheden in Java een
populaire manier is geworden om aanvallen uit te voeren.
BEVEILIGEN
Beveiligen is eenvoudig; heb je geen programma’s die Java
nodig hebben, installeer dat geen Java op je computer.
Installeer Java uitsluitend wanneer je het absoluut nodig
hebt. Om te kijken of Java al op je computer geïnstalleerd
Java software vormt een
is, kan je onderstaande link gebruiken. Let er wel op dat je
potentieel risico; heb je het niet
alleen controleert of Java geïnstalleerd is; start dus geen
nieuwe installatie.
Nederlandse versie:
http://www.java.com/nl/download/installed.jsp
Engelse versie:
http://www.java.com/en/download/installed.jsp
nodig, installeer het dan niet.
Indien je echt niet zonder kan,
zorg dan dat je de laatste versie
hebt. dat maakt het een stuk eenvoudiger voor criminelen om op je
computer in te breken. Het controleren van de Java versie op
Indien Java op je computer is geïnstalleerd zonder dat je
een Windows machine is simpel; klik op het Java icoon in het
het echt nodig hebt, verwijder het dan.
Configuratie scherm (Control Panel), controller de versie en
of automatisch updaten aan staat. Heb je niet de laatste
TOCH NODIG?
Mocht je Java toch echt nodig hebben, dan zijn er een
aantal dingen die je kan doen om jezelf te beveiligen.
1. BLIJF BIJ:
versie, update het dan via het Java menu.
Op een Apple Mac is dit wat lastiger. Apple distribueert zijn
eigen aangepaste Java versie, deze is gebaseerd op Java
versie 1.6. Indien je het besturingssysteem up-to-date
houdt, dan zorgt Apple dat dit ook met Java ook gebeurt.
Apple gebruikers kunnen overigens wel handmatig Java
Zorg ervoor dat je altijd de laatste Java versie op je computer
versie 1.7 downloaden en installeren maar dat moet je ook
hebt. Van oude versies zijn veel kwetsbaarheden bekend en
zelf de updates bijhouden en installeren.
© The SANS Institute 2012
http://www.securingthehuman.org
6
5
OUCH! | Januari 2013
Java
2. BLOKKEER BROWSER PLUG-IN:
Eén
van
de
meest
gebruikte
manieren
om
Uninstalling Java 7 on a Mac:
http://preview.tinyurl.com/cowkxy4
Java
kwetsbaarheden te misbruiken is via de web browser.
Disabling Your Browser’s Java Plugin:
Indien Java is geïnstalleerd, dan heeft je browser een
http://preview.tinyurl.com/cwptsxv
zogenoemde Java plug-in. Via deze plug-in kan een cyber
crimineel bij bezoek aan een ‘verkeerde’ website, je
Browsercheck:
computer binnendringen door gebruik te maken van de
http://browsercheck.qualys.com
Java kwetsbaarheden. Verreweg de meeste websites
gebruiken echter helemaal geen Java. In de meeste
Common Security Terms:
gevallen kan je dan ook de Java plug-in met een gerust
http://preview.tinyurl.com/6wkpae5
hart blokkeren. Hoe je de Java plug-in blokkeert verschilt
SANS Security Tip of the Day:
per browser. De meeste browsers hebben een “Opties” of
http://preview.tinyurl.com/6s2wrkp
“Voorkeuren” menu waar je plug-in kan blokkeren. Mocht
je toch een website tegenkomen waar Java gebruikt
wordt, dan kan het voor alleen die website weer
LEER MEER
aanzetten.
Bezoek ons op http://www.securingthehuman.org om je in
te schijven voor de maandelijkse beveiligingsnieuwsbrief,
BRONNEN (ENGELS)
toegang tot het OUCH! archief en voor meer informatie
over SANS Security Awareness programma’s.
Sommige links zijn korter gemaakt met behulp van
TinyURL. OUCH! maakt uitsluitend gebruik van de TinyURL
Preview Service zodat je altijd eerst de volledige link te zien
DUTCH VERSION
krijgt, voor je door kan klikken naar de uiteindelijke website.
Jan-Adam
What is Java?
freelance ICT Security Consultant. Stuur hem email via
http://preview.tinyurl.com/7l7jvb8
[email protected]
Breukel,
CISSP,
is
een
onafhankelijke
Martin Stellar is een freelance copywriter met een
Uninstalling Java on Windows:
interesse voor technologie en vertalen als hobby. Voor
http://preview.tinyurl.com/4x66uco
meer informatie: www.martinstellar.com
OUCH! Is een publicatie van het SANS S8th,
ecuring The -H0.50
uman hours
programma en wordt gedistribueerd onder de C(Italian)
reative Commons BY-­‐NC-­‐ND [ ] September
2012
- OUCH!
Imaging
/ Finalization
3.0 license. Verdere verspreiding van deze nieuwsbrief is toegestaan mits er gerefereerd wordt naar de orginele bron, er geen wijzigingen worden aangebracht en het n iet gebruikt wordt voor commerciele doeleinden. Neem contact op via [email protected] voor vertalingen en m eer informatie. Redactie: Bill Wyman, Walt Scrivens, Phil Hoffman, Lance Spitzner, Carmen Ruyle Hardy Vertaald door: Jan-­‐Adam Breukel en Martin Stellar © The SANS Institute 2012
http://www.securingthehuman.org