Java Plugin um enorme risco de segurança? Como preservar o plugin Java a partir do escalonamento de privilégios?

Question

Instalar um plug-in Java comum é um risco real à segurança para pessoas que não são de TI. Normalmente, os applets Java são executados em uma sandbox e o applet não pode fazer nada prejudicial ao seu computador.

Se um applet, no entanto, precisar fazer algo como somente leitura acessando seu sistema de arquivos, por exemplo, carregando uma imagem, você tem que dar mais privilégios. Normalmente, tudo bem, mas acho que nem todo mundo sabe que você dá ao applet os mesmos privilégios para o seu computador como o seu usuário tem! E é tudo que Java lhe pergunta:

Pareceser"prejudicial" como um certificado SSL autoassinado em uma página aleatória, na qual nenhum dado confidencial é trocado. O usuário irá clicar em Run !

Você pode tentar isso em casa usando o JyConsole , que é o Jython (Python on Java)!

Basta digitar o código python, por exemplo

import os
os.system('cat /etc/passwd')

ou pior NÃO DIGA NESSE CÓDIGO NO SEU COMPUTADOR !!!

import os
os.system('rm -rf ~')

...

Alguém sabe como você pode desativar a possibilidade de escalonamento de privilégios? E, a propósito, alguém sabe por que o SUN exibe apenas um diálogo tão inofensivo quanto o mostrado acima (o diálogo de certificado SSL com assinatura automática do Firefox 3 e acima é muito mais claro aqui!) ?

Amostra ao vivo do meu computador:

    

Answer 1

Absolutamente não é uma resposta oficial:

A partir de 6u10, os arquivos podem ser lidos por applets usando a API java.jnlp. O usuário primeiro recebe um diálogo de aviso (que eu gostaria que fosse removido) e, em seguida, um navegador de arquivo aberto. O applet só pode ler o arquivo que o usuário seleciona para ele através do seletor de arquivos.

Atualmente, você pode impedir que os usuários confiem em 'conteúdo' acessando o Painel de Controle Java, selecionando a guia Avançado. A primeira caixa de seleção sob segurança atualmente "permite que o usuário conceda permissões ao conteúdo assinado @. A segunda caixa de seleção é" Permitir que o usuário conceda permissão ao conteúdo de uma autoridade não confiável ".

O medo do diálogo de segurança deve ser mais ou menos igual ao de players da indústria comparáveis, como o ActiveX da Microsoft e o Adobe's.

(Divulgação: Eu trabalho no Java SE Security.)