Scylla Charybdis*

--
--
Prctogram 6 I december 2002 / januari 2003
Scylla en Charybdis*
Frank Brokken
f . b .brokken@rc . rug. nl
Frank Brokken is security manager bij
het RC. Met het instellen van deze
functie probeert de RUG het
'security bewustzijn' bij de
gebruikers van de universitaire ICTvoorzieningen te bevorderen. In zijn
column houdt Frank ons op de
hoogte van de stand van zaken met
betrekking tot zijn missie.
Een klassieke uitvoering van Scylla
Het RUG-webplatform is onge-
onder andere mogelijk om pro-
twijfeld erg mooi, maar er is ook
gramma's, zogenaamde 'applets'
of the Straits of Messina, opposite the
een aantal security-aspecten die
op te nemen in web-pagina's. Het
whirlpool Charybdis: in classica/ mythology
nauw verband houden met de
kopje dampende Java-koffie is in-
both Scylla and Charybdis were personified
manier waarop het webplatform
middels zo'n beetje het 'handels-
as female monsters- between Scylla and
is ontwikkeld. Over deze security-
merk' van de programmeertaal
Charybdis: between two peri Is or evils,
aspecten gaat mijn huidige bij-
Java geworden.
neither of which can be evaded without
drage.
* Scylla: a dangerous rock on the ltalian side
risking the other.
Bij de ontwikkeling van het web-
De gebruiker die een webpagina
platform is in eerste instantie ge-
opvraagt waarin een Java-applet
Uit: Webster's New World Dictonary of the
kozen voor de Internet Explorer
is opgenomen, krijgt niet alleen
American Language, Second College
webbrowser van Microsoft. Hele-
de opgevraagde pag ina te zien ,
Edition, 197 4.
maal vreemd is dat niet: Internet
maar start bovendien het inge-
Explorer is nou eenmaal de meest
bedde Java-programma, dat ver-
gebruikte webbrowser, en bij een
volgens onder regie van de web-
zo groot project als het webplat-
browser wordt uitgevoerd.
form moet je natuurlijk ergens be-
Het vervelende is nu, dat Micro-
ginnen, nietwaar.
soft heeft gemeend een eigen im-
Bij de ontwikkeling van het web-
plementatie van Java te moeten
platform is ook gekozen voor in-
maken, die vervolgens wordt ge-
tensief gebruik van de program-
bruikt wanneer bijvoorbeeld de
meertaal Java. Deze program-
Internet
meertaal is door Sun Micro-
wordt gestart (en ook wanneer
systems ontwikkeld, en maakt het
gebruik wordt gemaakt van bij-
Explorer webbrowser
I december 2002 / januari 2003
Pictogram 6
voorbeeld OutlookExpressen de
gebruiker e-mail ontvangt waarbij een Java-applet is meege-
leen kan uw virusscanner hier
niet veel tegen doen) .
• Willekeurig welk document op
stuurd) .
uw ha rddisk kan worden gele-
Dat die eigen implementatie van
zen. Denk hierbij aan informatie
Microsoft vervelende consequen-
over passwords, moge lijk cre-
ties kan hebben moge blijken uit
ditcard-gegevens, en dergelij-
het volgende.
ke . Niet al leen zijn de files op
In augustus van dit jaar werd
uw harddisk toeganke lijk voor
Microsoft
de Java-programma's maar ook
geïnformeerd
door
Jou ka Pynnonen over een aantal
alle files die via disk-sharing be-
problemen die in de Java imple-
schikbaar vanaf uw computer
mentatie van Microsoft waren ge-
kunnen worden gelezen zijn
constateerd . Het blijkt dat Sun's
toegankelijk voor Java pro-
implementatie van Java geen last
gramma's die via uw webpagi-
heeft van de geconstateerde pro-
na's op uw computer worden
blemen . Voor wie geïnteresseerd
gestart.
• De informatie in uw 'clipboard'
is in de details:
o nline .secu rityf o cus. co m/
kan worden gelezen. Omdat
webbrowser dan Internet Explo-
archive/1 /29 0 966
uw
rer, terwij l het ook niet goed mo-
ook (via cut-and-paste opera-
gelijk is om Java uit te zetten.
Jou ka schrijft onder meer: 'These
t ies)
Scyll a en Charybdis?
clipboard
mogelijkerwijs
persoon lijke
informatie
are some technica! details about
zoa ls passwords kan bevatten,
the security vulnerabilities l've
is ook dat een ernstig lek in de
found in Microsoft's J ava imple-
beveiliging van uw comp uter.
mentatation . They we re reported
In ieder geval vanuit securityoverwegingen hoop ik dat het
webp latform spoedig ook toe-
to the vendor mostly during
Er zijn eigen lijk maar een paar be-
ganke lijk is voor andere web-
August 2002. Microsoft na langer
kende oplossingen voor de hier
browsers dan Internet Explorer. In
responds to my inque ries and
geconstateerde prob lemen:
ieder geva l raad ik iedereen aan,
doesn't seem to react about
1 Java-support uitzetten: Kies
zolang er nog geen geverifieerde
these severe vu lnerabilities which
'Deze Computer', 'Configura-
op lossingen
affect most Internet Explorer
tiescherm', ' Internet Opties' .
voor de problemen die door
zijn
gepubliceerd
users. Forthis reasen l've decided
Kies dan bij ' Internet Opties':
Jouko Pynnonen zijn geconsta-
to publish this information and
'Beveiliging' en activeer daar-
teerd, om de door hem gegeven
hope it eneaurages the vendor to
binnen: ' Internet' . Klik verval-
adviezen serieus te nemen: geen
correct the issues and release
gensop 'Aangepast Niveau' en
Java bij Microsoft-producten toe-
patches. This also al lows other
vervolgens: 'Java/Toestemmin-
staan, of een andere webbrowser
voluntary security researchers to
gen voor Java/Java Uitscha-
hanteren .
investigate the issues and possi-
kelen '. Of:
bly
propose
fixes
ar
work-
2 Gebruik geen Internet Explo-
arounds.'
rer of een e-mail programma
goede oplossing voo r de gecon-
Jouko constateert ruim tien pro-
dat gebruik maakt van de
stateerde
blemen. Mijns inziens zijn ze niet
Microsoft-implementatie
vermeld uw oplossing dan op
alle even ernstig, maar een aantal
Java.
van
In de tussentijd : mocht u een
problemen
hebben ,
www.rug. nl/security/award
ervan hebben zeker ernstige con-
(Klik 'Deelnemersformulier').
sequenties:
Omdat de ontwikkelaars van het
Met uw oplossing maakt u onge-
• Applets kunnen worden gestart
webplatform zich in eerste in-
twijfeld een goede kans op het
(en opgevraagd) van andere
stantie expliciet op de Internet
winnen van de Annual Security
dan officieel toegestane websi-
Explorer webbrowser (in combi-
Award 2003-2004, onder het
tes . Dat kan leiden tot het on-
natie met Java) hebben gericht,
motto: Be Part of the Solution,
gecontroleerd starten van pro-
ontstaat er een dilemma: in de
Nat of the Problem!
gramma's op uw pc (een ver-
context van het webplatform kan
Tenslotte wens ik iedereen pl e-
schijnse l dat we ook wel kennen
voorlopig eigenl ijk niet worden
zierige kerstdagen en een voor-
in combinatie met virussen, al-
uitgeweken
spoedige jaarwisseling toe .
naar een
andere
Een moderne uitvoering van Scylla .