O Caso Oracle Java SE serve uma Cuppa Cuidado

Quando os consumidores atualizaram o Java SE, que foi instalado em mais de 850 milhões de computadores, a Oracle Corporation prometeu “acesso seguro e seguro ao mundo do incrível conteúdo Java” e afirmou que as atualizações tiveram “o mais recente. . . melhorias de segurança. ” Mas de acordo com um acordo anunciado pela FTCQuando se tratava dessas atualizações de segurança, o Java SE estava derramando descafeinado.

Os consumidores usam o Java para fazer de tudo, desde jogar jogos on -line até visualizar imagens 3D. Mas um dos desafios enfrentados pelos usuários do Java SE foi que os atacantes monitoravam de perto as atualizações periódicas de segurança da Oracle para descobrir as fraquezas nas versões anteriores. Os bandidos projetavam malware – explorar kits – direcionados a pontos suaves nas iterações anteriores de Java. Os resultados podem ser catastróficos para os consumidores. Sabe -se que os atacantes instalam os madeireiros para capturar nomes de usuário e senhas. Próxima parada: um esmagamento com o cartão de crédito, o banco e as contas do PayPal das pessoas.

Mas essas atualizações de segurança do Java SE não cuidariam do problema? Você gostaria de pensar assim, mas para alguns consumidores, não foi isso que aconteceu. As pessoas não foram informadas de que as atualizações do Java SE removeram automaticamente apenas a versão mais recente instalada no computador. Eles também não sabiam que as atualizações não removeriam nenhuma versão lançada antes de uma determinada data. Mas, de acordo com a FTC, quem sabia, mas não estava explicando o problema claramente? Oracle, é quem.

Em uma página de perguntas frequentes, a Oracle revelou que “versões antigas e não suportadas do Java no seu sistema presente () um sério risco de segurança” e que “(u) nono de nono versões mais antigas do Java do seu sistema garante que os aplicativos Java serão executados com o máximo -Ta segurança. ” Mas havia dois problemas com isso. Primeiro, nesse contexto, “FAQ” pode ter sido uma descrição imprecisa, porque com que frequência os consumidores típicos despejam páginas como essa? Segundo, mesmo que os consumidores tenham encontrado essa página – uma dupla se – ainda não explicou que o processo de atualização do Java SE não removeu todas as iterações mais antigas e inseguras do software.

Além disso, De acordo com a queixa da FTCEm 2011, a Oracle sabia que seu processo de atualização não era suficiente para garantir que os consumidores sempre pudessem remover todas as versões mais antigas e inseguras. Como observou um insider com abertura de Oracle, o “mecanismo de atualização de Java não é agressivo o suficiente ou simplesmente não está funcionando”. No entanto, como alega a FTC, o Oracle continuou a lançar atualizações de segurança até recentemente em agosto de 2014, sem revelar que as atualizações podem ter deixado as versões vulneráveis ​​de Java SE intocadas – e, portanto, abertas ao ataque. À luz das representações feitas, a FTC diz que o fracasso da empresa em divulgar foi enganoso.

A ordem proposta Proíbe deturpações sobre a privacidade ou segurança de certos softwares Oracle. Também exige o Oracle para garantir que as telas de atualização e instalação do Java SE indam aos consumidores se certas versões mais antigas estiverem em seus computadores e dar a eles a opção de excluí -los. O Oracle também terá que notificar os consumidores afetados e orientá -los em como resolver o problema.

O que sua empresa deve tirar do caso?

Primeiras coisas primeiro. Verifique se você corrigiu o problema em seus próprios computadores. O acordo exige o Oracle para notificar os usuários do Java sobre a vulnerabilidade e fornecer ferramentas para corrigi -lo. Enquanto isso, você tem várias opções para remover versões antigas do Java SE. Siga as instruções sobre o Oracle’s java.com/uninstall página Ou siga uma dessas etapas:

Há outra lição para as empresas. Por mais de uma década, a FTC aconselhou as empresas a testar seus produtos e serviços quanto a riscos sérios, conhecidos e razoavelmente previsíveis. É um ponto tão importante que é repetido no folheto de negócios da FTC, comece com a segurança. Mas o corolário óbvio desse conselho é quando o teste revela problemas, mova -se rapidamente para corrigir o problema e alertar claramente os consumidores afetados.

Arquive os comentários sobre o acordo proposto até 20 de janeiro de 2016. E marque a página de segurança de dados do Business Center para orientação prática, vídeos, casos e outros recursos gratuitos para ajudá -lo a começar com – e sustentar – segurança.