Oracle zabija ulubioną lukę bezpieczeństwa dla atakujących: wtyczkę przeglądarki Java

Oracle przejdzie na emeryturę wtyczkę przeglądarki Java, która często jest celem exploitów opartych na sieci, około rok później. Pozostałości prawdopodobnie jednak utrzymają się długo później.

"Oracle planuje wycofać wtyczkę Javy do przeglądarki Java JDK 9", powiedział Java Platform Group na blogu w środę. "Technologia ta zostanie usunięta z Oracle JDK i JRE w przyszłym wydaniu Java SE."

Oczekuje się, że Java Development Kit (JDK) 9, implementacja referencyjna dla następnej wersji Java SE, osiągnie ogólną dostępność w Marzec 2017. Do tego czasu większość współczesnych przeglądarek nie będzie już akceptować wtyczki do przeglądarki Java.

[Dalsze informacje: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

Mozilla ogłosiła w październiku, że planuje usuń wsparcie dla wtyczek w Firefoksie do końca 2016 r. We wrześniu wyłączono obsługę wtyczek dla wtyczek, które podobnie jak Java i Silverlight korzystają ze starego standardu NAPP (NPAPI). Przeglądarka krawędzi firmy Microsoft również nie obsługuje wtyczek.

Internet Explorer i Safari to jedyne przeglądarki, które nadal akceptują tradycyjne wtyczki NPAPI po 2016 roku, ale Oracle jest prawie zmuszony do podjęcia tej decyzji, mimo że Chrome obsługuje nowa technologia wtyczek o nazwie PPAPI (Pepper Plug-in API).

"Oracle nie planuje dodawać dodatkowych wtyczek do przeglądarek, ponieważ takie wtyczki wymagają od twórców aplikacji pisania apletów specyficznych dla przeglądarki dla każdej przeglądarki, którą chcą obsługiwać , "Firma powiedziała w białej księdze, która przedstawia opcje migracji dla programistów. "Co więcej, bez interfejsu API opartego na różnych przeglądarkach, Oracle może oferować tylko podzbiór wymaganych funkcji, różniących się między przeglądarkami, wpływając zarówno na twórców aplikacji, jak i użytkowników."

Główna alternatywa zaproponowana przez firmę jest przejście z apletów Java do aplikacji Java Web Start. Tego typu aplikacje można uruchamiać z Internetu bez potrzeby korzystania z wtyczki do przeglądarki.

Z punktu widzenia bezpieczeństwa aplikacje Java Web Start mogą być używane jako wektory ataku do wykorzystywania luk w środowisku wykonawczym Java, podobnie jak Aplety

Nawet po tym, jak wtyczka Java zostanie wycofana, prawdopodobnie wiele komputerów będzie ją instalować przez wiele lat. Jest to szczególnie ważne w środowiskach biznesowych, w których niestandardowe, oparte na sieci WWW aplikacje Java są powszechne i nie można ich łatwo wymienić ani przepisać.

Nawet teraz, ze względu na kompatybilność aplikacji, istnieje wiele komputerów w środowiskach biznesowych, które nadal używają Javy 6 lub Java 7, wersje, które nie otrzymują już publicznych aktualizacji zabezpieczeń.