1
2
OUCH! | Gennaio 2013
IN QUESTO NUMERO
• Cos’è Java?
• I rischi di Java
• La miglior difesa
Java
L’AUTORE DI QUESTO NUMERO
Arrigo Triulzi ha collaborato alla stesura di questo numero.
Java di girare su un computer è necessario aver installato un
Arrigo è un consulente indipendente che si occupa di
set di programmi chiamato Java Runtime Environment. In
Sicurezza da più di 25 anni. Lavora a Ginevra.
questo numero spiegheremo i pericoli legati alla presenza di
Java sul computer e cosa è possibile fare per proteggerlo.
Nota: Javascript e Java sono tecnologie completamente
INTRODUZIONE
diverse. In questa newsletter parleremo solo di Java.
Con il termine software ci riferiamo ai programmi e alle
applicazioni
che
utilizziamo
ogni
giorno
sul
nostro
computer, come ad esempio il browser, il programma di
QUALI SONO I RISCHI?
elaborazione testi, quello di consultazione della posta
Uno dei metodi più comuni utilizzato dagli hacker per
elettronica, i videogiochi, ecc. La maggior parte del
introdursi in un computer è sviluppare speciali programmi in
software è stata realizzata per essere eseguita solo su
grado di sfruttare le vulnerabilità del software. Poiché si
computer
Microsoft
tratta di vulnerabilità specifiche per ogni tipo di computer,
girerà solo su computer con
gli strumenti usati dagli hacker per attaccare sistemi
sistema operativo Windows e non potrà essere eseguito su
Windows funzionano solo con quel tipo di sistema operativo
computer Mac della Apple. Viceversa, il software progettato
e non su computer Mac, e viceversa. Questo fattore,
per Mac girerà solo su computer Apple.
naturalmente, limita gli obiettivi degli attacchi.
Java è diverso: è prima di tutto un linguaggio di
Java è diverso, dal momento che è stato progettato per
programmazione che permette di progettare software che
funzionare su qualsiasi computer: le sue vulnerabilità
può essere eseguito su diversi tipi di computer, e quindi, sia
costituiscono quindi un obiettivo molto interessante per gli
su Windows sia su Mac. Per permettere a un programma
hacker, poiché possono penetrare in più computer con uno
specifici:
il
Windows, ad esempio,
software
scritto
© The SANS Institute 2013
per
http://www.securingthehuman.org
4
3
OUCH! | Gennaio 2013
Java
sforzo inferiore. Inoltre, Java è complesso, il che significa
che può essere soggetto a diverse vulnerabilità. Purtroppo
molte persone non sanno nemmeno che Java è presente
sul loro computer, perché spesso viene installato come
supporto per eseguire applicazioni specifiche.
Il risultato di questo è che Java è diventato un obiettivo
molto popolare tra i criminali informatici.
LA MIGLIOR DIFESA
La difesa migliore è semplice: se non utilizzate nessun
programma che richiede Java, non installatelo. Installatelo
solo se ne avete assoluto bisogno. Se non siete certi della
presenza di Java, esiste un modo semplice per verificarlo:
collegatevi al sito che trovate indicato di seguito.
Java è un software che può esporti a diversi rischi: se non ne hai bisogno, non installarlo. Se invece ne hai bisogno in modo continuativo, assicurati di aver installato l’ultima versione. http://www.java.com/en/download/installed.jsp
vulnerabilità conosciute che rendono la vita facile ai
Vi preghiamo di effettuare il solo controllo e di non
criminali informatici, mentre le versioni future avranno
installarlo, nel caso non sia presente sul vostro computer.
caratteristiche di sicurezza aggiuntive. Mantenere Java
Se scoprite di aver Java installato e non ne avete più
aggiornato per i computer Windows è piuttosto semplice:
bisogno, rimuovetelo pure.
per verificare quale versione è installata, selezionate l’icona
Java nel Pannello di Controllo e controllate che sia
SE PROPRIO DOVETE…
Se siete costretti a mantenere Java installato, ci sono
diverse cose che dovreste fare per proteggervi.
1. MANTENETELO AGGIORNATO
presente l’ultima versione e che gli aggiornamenti siano
automatici. Se il computer non è aggiornato, fatelo
manualmente attraverso il menu.
Per i computer Mac, il procedimento è leggermente più
complesso. Con l’obiettivo di proteggere i suoi utenti, Apple
distribuisce e aggiorna la sua versione di Java basata su
Assicuratevi che sul vostro computer sia installata l’ultima
Java 1.6. Se mantenete il sistema operativo del vostro Mac
versione di Java. Le release più vecchie soffrono di
aggiornato,
© The SANS Institute 2013
provvederete
automaticamente
anche
http://www.securingthehuman.org
6
5
OUCH! | Gennaio 2013
Java
all’aggiornamento di Java. Gli utenti Apple possono
Cos’è Java?
aggiornare il loro computer a Java 1.7 scaricandolo dal suo
http://tinyurl.com/br6sndn
sito (non un sito Apple): questo vi obbligherà a mantenere e
aggiornare
autonomamente
questa
versione
autonomamente.
Come si disinstalla Java da un computer Windows:
http://tinyurl.com/bm2aq7l
Come si disinstalla Java 7 sul Mac:
2. DISABILITARE I PLUGIN DEL BROWSER.
http://tinyurl.com/blh3ena
Uno dei metodi più comuni utilizzati dai criminali informatici
Come si disabilita Java nel browser Web:
per sfruttare le vulnerabilità di Java è di passare attraverso il
http://tinyurl.com/cph3md7
vostro browser. Se avete Java installato, il browser avrà
quello che è chiamato il plugin Java, che gli permette di
eseguire programmi sviluppati in questo linguaggio. Quando
vi collegate a un sito web maligno, gli hacker potrebbero
Browsercheck:
http://browsercheck.qualys.com
entrare nel vostro computer attraverso questo plugin.
PER SAPERNE DI PIÙ
Attualmente sono pochi i siti web che richiedono l’uso di Java
Abbonatevi a OUCH!, la newsletter mensile sulla sicurezza
nel browser, per cui nella maggior parte dei casi potete
informatica, consultate i suoi archivi e approfondite le
disabilitare con tranquillità il plugin: la maggior parte dei
soluzioni
browser ha opzioni di configurazione o setting dove è
http://www.securingthehuman.org.
di
sicurezza
di
SANS
visitandoci
presso
possibile effettuare questa operazione. Se incontrate un sito
che richiede che Java sia funzionante, potete abilitarlo solo
per quel sito e poi disabilitarlo quando avete finito di visitarlo.
RISORSE
VERSIONE IN ITALIANO
La versione in italiano è curata da Advanction S.A.,
un’azienda
impegnata
nella
Alcuni dei link presenti in questa newsletter sono stati
Management Operativo e nella
accorciati per migliorarne la leggibilità utilizzando il servizio
Seguila
TinyURL.
(@advanction).
su
Sicurezza,
nel
Risk
Security Awareness.
www.advanction.com
e
su
Twitter
OUCH! è pubblicata dal programma Securing The Human di SANS ed è distribuita con licenza Creative Commons BY-­‐NC-­‐ND 3.0. Questa newsletter può essere distribuita solo se ne viene citata la fonte, se i suoi contenuti n on vengono modificati e se n on viene usata per scopi commerciali. Per traduzioni e per ulteriori informazioni, contattare [email protected]. right Pnhil ow Redazione: Bill Wyman, ixing Walt tShem crivens, Hoffman, Lance Spitzner Versione in italiano curata da Advanction S.A.: Stefano Bonacina, Silvestro Maestri, Giorgio Ferrari © The SANS Institute 2013
http://www.securingthehuman.org
