محققین: جلدی سے حل کرنے کی امکان نہیں ہے

سال کے آغاز سے، ہیکرز جاوا میں زیادتی کا سامنا کرنا پڑا ہے. مائیکروسافٹ، ایپل، فیس بک اور ٹویٹر، اور ساتھ ساتھ گھر کے صارفین سمیت کمپنیوں کے خلاف ایک تار کا حملہ کرنے کے لۓ. اوریکل نے اپنے جاوا سافٹ ویئر کو خطرات سے تیز رفتار اور جواب دینے کی کوشش کی ہے، لیکن سیکورٹی ماہرین کا کہنا ہے کہ حمل جلد ہی کسی بھی وقت جلد جانے کی اجازت نہیں دے سکتی.

اس ہفتے صرف سیکورٹی محققین نے حال ہی میں غیر معمولی منی ڈیوک کے پیچھے ہیکرز کا ذکر کیا ہے. سائبریسپونج مہم نے جاوا اور انٹرنیٹ ایکسپلورر 8 کے لئے ویب پر مبنی استحصال کا استعمال کیا، ان کے مقاصد کو سمجھنے کے لۓ ایڈوب ریڈر کا استحصال کیا. گزشتہ مہینے، منی ڈیوک میلویئر نے 23 ممالک سے سرکاری اداروں، تحقیقی اداروں، سوچ ٹینکوں اور نجی کمپنیوں سے تعلق رکھنے والی 59 کمپیوٹرز متاثر کیے.

جاوا نے منی ڈیوک کے استعمال سے استحصال کیا کہ وہ اوریکل کے ذریعہ نہیں تھا. حملہ آور، کاسپشرکی لیب نے ایک بلاگ پوسٹ میں کہا. اس سال کو جاوا کے خلاف ہونے والی حملوں میں سے کئی استعمال کیے گئے ہیں. [

[مزید پڑھنے: آپ ونڈوز پی سی سے کیسے ہٹا دیں]

فروری میں، مائیکروسافٹ، ایپل، فیس بک اور ٹویٹر کے سوفٹ ویئر انجینئرز نے ان کے کام کے لیپ ٹاپ کو iOS کے ڈویلپرز کے لئے ایک کمیونٹی کی ویب سائٹ پر جانے کے بعد میلویئر سے متاثر کیا تھا جو جاوا صفر کے دن استحصال کے ساتھ جھگڑا ہوا تھا. سیکیورٹی لیڈر نے رپورٹ کیا.

اورراکل نے دو ہنگامی سیکورٹی کی تازہ کاری جاری کرنے کے بعد سے حملوں کا جواب دیا ہے. سال کی شروعات اور ایک شیڈول پیچ کی رہائی کو تیز کرنا. اس نے جاوا ایپلز کے اعلی سیکورٹی کنٹرول کے ڈیفالٹ ترتیب کو بھی اعلی طور پر اٹھایا ہے، ویب پر مبنی جاوا ایپلی کیشنز کو بغیر صارف کی توثیق کے بغیر براؤزر کے اندر عمل درآمد کرنے سے روکنے کی روک تھام کی ہے.

سیکورٹی ماہرین کا کہنا ہے کہ یہ ایک اچھا آغاز ہے لیکن سوچنے کے لئے مزید کیا جانا چاہئے اپ ڈیٹس کے لئے اپنانے کی شرح اور کارپوریٹ ماحول میں جاوا سیکورٹی کنٹرول کے انتظام کو بہتر بنانے کے لئے. مزید اہم بات یہ ہے کہ، بنیادی حفاظتی معاملات کی شناخت اور درست کرنے کے لئے اوریکل کو اپنے جاوا کوڈ کو اچھی طرح سے جائزہ لیا جانا چاہئے. ان کا یقین ہے کہ جاوا آج کل زیادہ محفوظ رہے گا اگر اوکل نے سالوں میں سیکیورٹی صنعت کے انتباہات کو سنبھال لیا تھا.

"یہ کہنا مشکل ہے کہ گزشتہ برسوں کے دوران اورکل میں اندرونی طور پر کیا ہوا ہے، لیکن بیرونی تاثر پر مبنی ہے. ای میل کے ذریعہ کنسلٹنگ کمپنی ریسک بیسس سیکورٹی کے سربراہ ریسرچ آفیسر، کارسٹن ایررم نے کہا کہ وہ جلد ہی رد عمل کر سکتے ہیں. "مجھے یقین نہیں ہے کہ اورراکل نے واقعی اگلے اہم ہدف کو جاوا کے اگلے بڑے ہدف ہونے کی پیش گوئی کی."

ممکنہ طور پر اورراکل حالیہ حملوں کی روک تھام نہیں کر سکتا تھا، انہوں نے کہا، لیکن اگر یہ جلد ہی کام کرے گا تو یہ بہتر پوزیشن میں ہوگا. اس کوڈ کو محفوظ کرنے اور سیکورٹی کے زیادہ تہوں کو شامل کرنے کے لئے.

"مجھے لگتا ہے کہ جاوا سیکورٹی کی موجودہ ریاست اس حقیقت کی وجہ سے ہے کہ جب سورج نے جاوا کو اب بھی مضبوطی سے دھکا دیا ہے تو وہ ابھی بھی ملکیت رکھتے ہیں." ای میل کے ذریعے، Kaspersky لیب میں تجزیہ ٹیم. "اوریکل نے جاوا خریدنے کے بعد، ممکنہ طور پر اس منصوبے میں کچھ دلچسپی نہیں کی."

جبیکل نے 2010 ء میں سورج مائیکروسافٹ خریدا تھا تو، اورکولی دنیا بھر میں 1.1 بلین ڈیسک ٹاپ کمپیوٹرز پر نصب کیا جاتا ہے. اس کی وسیع پیمانے پر تعیناتی اور کراس پلیٹ فارم کی نوعیت یہ ہیکرز کے لئے ایک پرکشش ہدف ہے. پولینڈ کے خطرے سے متعلق تحقیقاتی ادارے کے محققین نے محققین، آئی بی ایم اور ایپل کی جانب سے گزشتہ سال کے دوران جاوا رن ٹائمز کو برقرار رکھنے میں 55 خطرات پایا اور انہیں اطلاع دی ہے، اوریکل کے اس ورژن میں 36 میں سے ان میں سے 36.

سیکورٹی ریسرچمنٹ بانی، ای میل کے ذریعہ، "اپریل 2012 میں، ہم نے جاوا ایس ای 7 کو متاثر کرنے والے اوریکل کو 30 سیکورٹی کے مسائل کی اطلاع دی. "یہ ایک ہی وقت میں تھا جب فلیش بیک میک OS ٹراجن جنگلی میں پایا گیا تھا. دونوں کو اوریکل کے لئے ایک جاگ کال کے طور پر کام کرنا پڑا. "

کاسپرسسی لیب نے رپورٹ کیا ہے کہ پچھلے سال کسی بھی وقت، تین صارفین میں سے ایک جاوا کا ایک ورژن چل رہا تھا جس میں پانچ اہم استحصال میں سے ایک کو استعمال کیا جا سکتا تھا ہیکرز چوٹی کے اوقات میں، 60 فیصد سے زائد صارفین نے ایک کمزور جاوا ورژن نصب کیا تھا.

خاموش، خودکار اپ ڈیٹ میکانیزم فراہم کرنا جیسے کروم، فلیش پلیئر، ایڈوب ریڈر اور دیگر سافٹ ویئر میں پایا جاتا ہے، صارفین کے لئے مددگار ثابت ہوسکتا ہے. انہوں نے کہا کہ کاروباری اداروں کو شاید ایسی خصوصیات کو غیر فعال کردیں گے.

دسمبر میں جاری جاوا 7 اپ ڈیٹ 10 کے ساتھ شروع ہو رہا ہے، اوررایکل نے جاوا کنٹرول پینل میں نئے اختیارات فراہم کیے ہیں جو صارفین کو جاوا پلگ ان کو براؤزر سے غیر فعال کرنے یا جاوا فراہم کرنے کی اجازت دیتا ہے. جاوا اپلی کیشنز پر عمل درآمد کرنے سے قبل تصدیق کے لئے طلب کریں. جاوا 7 اپ ڈیٹ 11 سے پہلے، اس میکانزم کے لئے ڈیفالٹ ترتیب اعلی مقرر کیا گیا ہے، غیر مقفل جاوا اپلی کیشنز کو خود بخود صارف کی توثیق کے بغیر خود کار طریقے سے چلانے سے روکنا ہے.

"مجھے یقین ہے کہ جاوا میں نئی ​​سیکورٹی خصوصیات ظاہر کریں کہ اوکلکل صحیح سمت میں منتقل ہو رہا ہے، "کوالیزس کے CTO، ولف گینگ کنڈک نے کہا، جو خطرے کے انتظام اور پالیسی تعمیل کی مصنوعات کو فروخت کرتا ہے. جاوا بننے سے بھی زیادہ ترتیب دینے میں آئی ٹی منتظمین کو ان طریقوں سے اپنی تنظیموں کی ضروریات کو پورا کرنے میں مدد ملے گی.

"میں جاوا میں سفید لسٹنگ کی اہلیتوں کا استقبال کروں گا، یعنی، ایپلٹ میکانزم کو استعمال کرنے کے لئے تمام لیکن منظوری والے سائٹس کو روکنے کے لئے، "کنک نے کہا. "ایک ہی وقت میں، جاوا ترتیبات کی صلاحیتوں کا مرکزی انتظام، یعنی، ونڈوز جی پی او [گروپ پالیسی] کے ذریعہ، بہتر کیا جانا چاہئے."

کینڈیک کا خیال ہے کہ اورراکل دیگر سافٹ ویئر کمپنیوں کے مقابلے میں جاوا کو سخت کرنے میں ایک بڑا چیلنج کا سامنا کرنا پڑتا ہے. ان کی اپنی مصنوعات. "جاوا ایک مکمل پروگرامنگ زبان ہے اور اس کی ضروریات کے مکمل ہموار کو انجام دینے کے قابل ہونے کی ضرورت ہے … کم سطح کے آپریٹنگ سسٹم کے کاموں سمیت."

اس نے کہا کہ، ایرام اور گادوک نے کہا کہ اوریکل کو اپنے جاوا کوڈ کی معیار کو بہتر بنانے کی ضرورت ہے. سیکورٹی کے نقطہ نظر سے، کیونکہ ابھی نقصانات کو تلاش کرنے کے لئے نسبتا آسان ہے.

"سافٹ ویئر بیچنے والے کو ایک خاص معیار کے محفوظ کوڈ فراہم کرنے کی ذمہ داری ہے، اور فلیش پلیئر یا جاوا جیسے بڑے پیمانے پر تعین کردہ سافٹ ویئر کے بیچنے والے کو کوئی عذر نہیں ہے." ایرام نے کہا. "ایڈوب نے اس کا احساس کیا اور ان کے کوڈ کو بہتر بنانے کے لئے سنجیدہ اور کامیاب کوشش کی ہے. مائیکروسافٹ نے کئی سال پہلے ہی کیا. گادوک نے کہا کہ اوکلکل ان قدموں پر عمل کرنے کا وقت ہے. "

یہ اشارہ ہیں کہ اوریکل کے ڈویلپرز جاوا کے سیکورٹی کے نقصانات سے واقف ہیں اور اس کوڈ کو سیکورٹی کے جائزے کافی یا جامع نہیں ہیں. انہوں نے کہا کہ حفاظتی تحقیقات کی نشاندہی کرنے والے بہت سے مسائل جاوا کے لئے اوریکل کے اپنے محفوظ کوڈنگ کے رہنماوں کی خلاف ورزی کرتے ہیں.

"ہم نے بہت سے غلطی پایا جو کمپنی کے ذریعہ اس پلیٹ فارم کے جامع سلامتی جائزہ لینے کے لۓ ختم ہوجائے گی. رہائی کا کہنا ہے کہ "گوداڈک نے کہا.

بنیادی طور پر خطرے سے نمٹنے اور کوڈ کی پختگی میں اضافے کو بڑھانے کے لئے انگلی کو ایک ٹھوس سیفٹی ڈویلپمنٹ لائف سائیکل چلانا چاہئے. ایک ایسڈییل ایک سوفٹ ویئر کی ترقی کا عمل ہے جس میں کوڈ سیکورٹی کے جائزے اور خطرے کو کم کرنے کے لئے ترقیاتی کاموں کو محفوظ بنانے پر زور دیا جاتا ہے.

مائیکروسافٹ نے، موجودہ کوڈ کا جائزہ لینے کے لئے اور داخلی تربیت کے سیشن کو برقرار رکھنے کے ذریعے ڈویلپرز کو مناسب طریقے سے تربیت دی ہے. بیرونی امتحانوں کی مدد سے، ایرام نے کہا. "اوررایکل کچھ ماہرین محققین کے ساتھ بھی معاہدہ کر سکتے ہیں جو بھی اپنے کوڈ کو دیکھ رہے ہیں." ​​

اوریکل نے کہا کہ یہ 4 ماہ سے 2 مہینے تک جاوا کے لئے پیچیدہ سائیکل تیز کرے گا اور جاوا سیکورٹی کے مسائل کے بارے میں بہتر بات کرنے کا وعدہ کیا جائے گا. صارفین، آئی ٹی پیشہ ور، پریس اور سیکورٹی محققین سمیت سبھی ناظرین. جاوا سیکورٹی اپ ڈیٹس اور سلامتی پر اوکیکل کی مواصلات کی کمی کے درمیان طویل وقفے پر تنقید کی گئی ہے.

"یہ دیکھنے کے لئے دلچسپی ہوگی کہ وہ عوام کے ساتھ بہتر بات چیت کرنے اور اپنے پریس سے متعلق بات کرنے کا وعدہ کریں گے. ماضی میں، وہ میرے خیال میں ہیں - پریشان کن ہوچکے ہیں اور اطلاع کے خطرات اور ان کی جائزیت پر بھی تبصرہ کرنے سے انکار کر دیا. "

سلامتی کے مسائل پر تبصرہ نہیں کرنے کی پالیسی، جس میں اوریکل نے کہا کہ حفاظت کے لئے ضروری تھا. انہوں نے کہا، صارفین، اس کے نتیجے میں صارفین کو معلوم نہیں ہے کہ بیرونی طور پر اطلاع دی جانے والے خطرات حقیقی ہیں یا کیا اورکلیکل ان کے بارے میں کیا کر رہے تھے. "سیکورٹی اور ذمہ داری کا یہ نقطہ نظر گزشتہ دہائی میں ہے."

کسی بھی وقت جلدی ختم ہونے والے جاوا کی سلامتی کے مسائل، "ایررم نے کہا. "یہ کشتی کو تبدیل کرنے کے لئے مائیکروسافٹ اور ایڈوب دونوں کو تھوڑی دیر تک لیا، اور ان کی مصنوعات اب بھی صفر دن [استحصال] کے تابع ہیں اور پھر. جاوا نے حملہ آوروں کو پیش کرنے کے لئے بہت کچھ کیا ہے، لہذا میں امید رکھتا ہوں کہ ان پر توجہ مرکوز رکھی جائے. "

" میں کسی بھی وقت جلد ہی توقع نہیں کروں گا ". "IT منتظمین کو اس وقت سمجھنے میں ان کی سرمایہ کاری کرنا چاہئے جہاں انہیں جاوا اسکی ڈیسک ٹاپ پر ضرورت ہو گی اور وہ کہاں محدود کرسکتے ہیں." ​​

سیکورٹی ماہرین سے اتفاق کرتا ہے کہ جاوا کو غیر فعال ہونا چاہیے جہاں اس کی ضرورت نہیں ہے، کم از کم براؤزر کی سطح پر. بہت سے صارفین کو یہ بھی معلوم نہیں ہے کہ ان کے کمپیوٹر پر جاوا انسٹال ہے. Raiu نے کہا کہ شاید گوگل اور موزیلا نے کروم اور فائر فاکس میں جاوا پلگ ان کو محدود کرنے کا انتخاب کیا ہے.

ایپل نے میک OS X پر جاوا پلگ ان کے کمزور ورژن کو بھی سیاہ بنا دیا ہے، اور ونڈوز ایک رجسٹری ترتیب ہے جس میں جاوا استعمال کو محدود کرسکتا ہے. قابل اعتماد ویب سائٹس پر انٹرنیٹ ایکسپلورر.

بہت سے ہوم صارفین کو ان کے براؤزر میں جاوا کی ضرورت نہیں ہے، دنیا کے بعض حصوں میں لوگ شاید ہوسکتے ہیں. مثال کے طور پر، ڈنمارک میں، آن لائن بینکنگ اور گورنمنٹ ویب سائٹس کو ایک لاگ ان میکانیزم استعمال کرتا ہے جو نامییم نامی نامی جاوا کی حمایت کی ضرورت ہوتی ہے. اسی طرح کے معاملات دیگر ممالک میں موجود ہیں.

ان صورتوں میں، کروم اور فاکس فاکس میں کلک کرنے کے لئے خصوصیت کا استعمال کرتے ہوئے، یا IE میں زون میکانزم کو استعمال کیا جاسکتا ہے کہ صرف مخصوص ویب سائٹس سے جاوا مواد لوڈ کریں. ایک کم تکنیکی حل عام کاموں کے لئے جاوا معذور کے ساتھ ایک براؤزر کا استعمال کرنا ہوگا، اور Java کے ساتھ ایک مختلف براؤزر کو قابل اعتماد ویب سائٹس کے لئے فعال کیا جا سکتا ہے جو جاوا کی حمایت کی ضرورت ہے.

کارپوریٹ ماحول میں جاوا کے استعمال کو روکنے میں بہت مشکل ہے. بہت سے کمپنیاں اندرونی اور بیرونی ویب پر مبنی ایپلی کیشنز استعمال کرتے ہیں جو چلانے کے لئے جاوا براؤزر پلگ ان کی ضرورت ہوتی ہے. ککیک نے کہا کہ کلک کرنے کی طرح کی خصوصیات کارپوریٹ ماحولیات کے لئے موزوں نہیں ہیں جہاں پالیسیوں کو مرکزی طور پر منظم اور نافذ کرنے کی ضرورت ہے.

"جاوا مزید ترتیب دینے میں مدد ملے گی، آئی ٹی منتظمین کو تنظیم کی ضروریات کے لئے مناسب فیشن میں جاوا کو تعیناتی میں مدد ملے گی." "اعلی ڈیفالٹ سیکورٹی کی سطح اور براؤزر سے آسان منسلک ایک اچھا آغاز ہے، لیکن میں یقین کرتا ہوں کہ ہمیں براؤزر یا جاوا پلگ ان کی سفید لسٹنگ کی صلاحیتوں کو بہتر بنانے کی ضرورت ہوگی.

اس وقت کے لئے، IE میں زون میکانیزم کینڈیک نے کہا کہ، کارپوریک ماحول میں جاوا پلگ ان کے لئے سب سے زیادہ سکلائبل مینجمنٹ کی اہلیت پیش کرتا ہے.

جاوا اس پر مبنی حملوں کی حالیہ لہر، جس میں نتیجے میں مائیکروسافٹ، فیس بک، ایپل اور ٹویٹر پر سیکورٹی کے خلاف ورزیوں کی وجہ سے جاوا ہو سکتا ہے. شہرت، ایررم نے کہا. لیکن اگر کاروباری طور پر محفوظ اور محفوظ ہونے کے طور پر کاروباری طور پر جاوا پر اعتماد رکھتے ہیں تو، "انھوں نے محققین کو تھوڑی دیر کے لئے فراہم کی جانے والی شاندار انتباہات پر توجہ نہیں دی ہے."

یہ صرف جاوا کی ساکھ ہے جو شاید خراب ہوسکتی ہے. گودوک نے کہا کہ بعض کمپنیاں پوچھ رہے ہیں کہ کیا جاوا کی غریب سیکیورٹی دیگر اوریکل مصنوعات میں عکاسی کی جاتی ہے.

ایرام امید کرتا ہے کہ حالیہ حملوں کو کمپنیوں کو دوبارہ ان کی جانچ پڑتال کی جائے گی کہ وہ اپنے ماحول میں جاوا کی ضرورت ہے یا نہیں. خالص ایچ ٹی ایم ایل 5 کی بنیاد پر ایپلی کیشنز کو منتقل کر رہے ہیں اور پلگ ان جیسے فلیش، سلور لائٹ اور جاوا میں منتقل ہوتے ہیں. " "جاوا سرور کی طرف بڑھتے رہیں گے، جہاں اس کی طاقتور پروسیسنگ کی صلاحیتوں کو بالکل ضرورت ہے."