Java 7u11 - ¿Es más seguro cambiar a 6?

Me arriesgaría a suponer que no. No se basa en pruebas sólidas, solo un recelo que tengo acerca de revertir al software que podría no recibir las correcciones más recientes (las versiones anteriores finalmente irán a la pila de "solo actualizar"), especialmente si eres un objetivo de alto valor.

Una cosa 7u11 ha hecho esto :

  

Área: desplegar   Sinopsis: la configuración predeterminada del nivel de seguridad se cambió a alto   El nivel de seguridad predeterminado para los applets de Java y las aplicaciones de inicio web se ha aumentado de "Medio" a "Alto". Esto afecta a las condiciones en las que se pueden ejecutar las aplicaciones web Java sin firmar (espacio aislado). Anteriormente, siempre que tuviera la última versión segura de Java, los applets instalados y las aplicaciones de inicio web seguirían ejecutándose como siempre. Con la configuración "Alta", siempre se advierte al usuario antes de que se ejecute cualquier aplicación sin firma para evitar una explotación silenciosa.

Entonces, suponiendo que no haya errores en el código de verificación de firmas que le permitan solucionar esto, en realidad 7u11 con una buena dosis de educación para el usuario podría permanecer seguro siempre que los atacantes no puedan obtener un certificado válido para firmar su exploit con . Específicamente, el código sin firmar aparecerá con un diálogo "este código no es de confianza" un poco como lo hace UAC.

Esto, combinado con algo como NoScript para bloquear la carga inicial de estos objetos, debería significar que los usuarios al menos deben hacer clic una vez antes de que se active un exploit.

Esto es bueno, y espero que también se aplique a cualquier vulnerabilidad futura.

Mi comprensión de la situación de explotación se toma de esta entrada de blog . La vulnerabilidad que permitía sobrescribir el securityManager se ha corregido, pero la vulnerabilidad que permitía a un usuario final obtener nombres de clase a través de Reflection que normalmente no estaría disponible debido a la política de seguridad no se ha corregido.

Finalmente, como un aparte, experimenté con la vulnerabilidad en OpenJDK y descubrí que este problema parece no estar presente allí; obtengo una excepción "La clase MBean no se pudo cargar" (Reflexión no funciona).

De hecho, puede ser lo suficientemente seguro como para volver a Java6; aunque con la historia de Java en muchas de sus versiones, personalmente nunca volveré a confiar en ninguna versión.

Sin embargo, me pregunto qué está impulsando tu pregunta; ¿Tiene una necesidad específica basada en navegador para que Java esté habilitado? Generalmente, puede deshabilitar Java en los navegadores que usa (ya que es donde generalmente se explota) y dejar Java7 en la PC para los programas que lo requieran; ya que es mucho menos un objetivo específico cuando ya no es accesible a través de un complemento del navegador.

Dudo que alguien pueda darte una respuesta autorizada ... pero mi reacción intestinal dice que seguir con Java 7 me parece que es probablemente más seguro.

En este momento, Java 7 requiere que hagas clic en un applet antes de que comience a ejecutarse. En contraste, con Java 6, el applet podría ejecutarse sin requerir un clic del usuario. Por lo tanto, atacar a Java 7 hoy requiere encontrar una vulnerabilidad y montar un poco de ingeniería social para que el usuario haga clic en usted. Por supuesto, la parte de ingeniería social no es una barrera muy alta, pero creo que vale algo .