Zabezpieczenia środowiska Java zostały udoskonalone, tak aby system był mniej wrażliwy na zewnętrzne zagrożenia. Zaczynając od wersji Java 7 Update 51, środowisko Java nie zezwala użytkownikom na uruchamianie aplikacji, które nie zostały podpisane (niepodpisane) lub są samodzielnie podpisane (niepodpisane przez zaufaną jednostkę certyfikującą) bądź w których brakuje atrybutu określającego uprawnienia (brak atrybutu Permissions).

Zagrożenia związane z uruchamianiem aplikacji

Aplikacja niepodpisana

Aplikacja bez certyfikatu (tj. aplikacja niepodpisana) lub aplikacja, dla której brakuje informacji o nazwie i wydawcy, jest domyślnie blokowana. Uruchamianie takich aplikacji jest potencjalnie niebezpieczne i przyczynia się do pogorszenia bezpieczeństwa.

Aplikacja samodzielnie podpisana (certyfikat nie pochodzi od zaufanej jednostki certyfikującej)

Aplikacja z samodzielnie podpisanym certyfikatem jest domyślnie blokowana. Aplikacje tego typu stanowią największe zagrożenie, ponieważ wydawca nie jest zidentyfikowany, a aplikacja może uzyskać dostęp do danych osobistych przechowywanych w komputerze.

W pliku jar brakuje atrybutu Permissions

Atrybut Permissions potwierdza, że aplikacja wymaga poziomu uprawnień określonego przez jej twórcę. Jeśli tego atrybutu nie ma, istnieje ryzyko ataku wykorzystującego nieświadome wprowadzenie (przez użytkownika) aplikacji podpisanej przy użyciu oryginalnego certyfikatu, lecz uruchamianej na innym poziomie uprawnień.

Uruchamiana aplikacja jest blokowana, ponieważ nie spełnia wytycznych dotyczących zabezpieczeń, zaimplementowanych w wersji Java 7 Update 51.

Należy się skontaktować z programistą lub dostawcą tej aplikacji i powiadomić ich o blokowaniu aplikacji. Można odesłać ich do poniższych łączy, które prowadzą do informacji dotyczących praktyki implementacji zabezpieczeń w kodzie aplikacji.

• Strona JAR File Manifest Attributes for Security
• Strona Java SE Security Documentation
• Wytyczne „Secure Coding Guidelines” w zakresie języka programowania Java

Stanowczo zaleca się nieuruchamianie tego typu aplikacji. Jeśli jednak aplikacje takie powinny być uruchamiane, należy sobie zdawać sprawę z zagrożeń i ewentualnych skutków.

Jako obejście można użyć funkcji „Exception Site List” (Lista wyjątków witryn) zezwalającej na uruchamianie aplikacji blokowanych ze względu na ustawienia zabezpieczeń. Dodając adres URL blokowanej aplikacji do listy wyjątków witryn zezwala się na uruchomienie tej aplikacji, przy czym zostaną wyświetlone odpowiednie ostrzeżenia.