Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Java
9 views
Skip to first unread message
Jouko Holopainen
Mar 7, 2013, 8:59:28 PM3/7/13
to
Java lienee erinomainen esimerkki nykyisestￜ ohjelmistonkehityksen tasosta.
Java on "hiekkalaatikossa", siinￜ on turvallisuusominaisuuksia
rakennettu sisￜￜn, jne.
<http://www.oracle.com/technetwork/java/javase/tech/index-jsp-136007.html>
Mutta silti katiskalla saa lapattua vettￜ paremmin kuin Javalla.
Missￜ meni pieleen, kuka mokasi? Ei varmaan ole yhtￜ henkilￜￜ, mutta
mokan tￜytyy olla sekￜ arkkitehtuuri-, suunnittelu-, koodaus- ettￜ
testauskulttuureissa. Ketￜￜn ei ole kiinnostanut, eli kaikki ovat
kuvitelleet ettￜ kun ajamme bytecodea kaikki on turvallista ja hienoa.
Yllￜ antamani linkin takana on linkki Javan security-bugeihin, eli
sivulle: <http://www.oracle.com/technetwork/java/chronology-142681.html>
"See Sun alret notifications" naurettavan ja sￜￜlittￜvￜn vￜlimaastossa
:-D Kertoo KAIKEN Javan tietoturvasta.
Tuo moka, miten se lienee pￜￜssyt Oraclelle kylￜￜn, on niin suuri ettￜ
olen pￜￜttￜnyt repiￜ Javan helevettiin koneestani. Koska selvￜsti
kielenￜ se on nￜￜmmￜ turvattomamapi kuin hￜkkihￜkki C ilman
ylivuototarkistuksia niin mihin helvettiin sitￜ tarvii?
Missￜ nuo reiￜt Javan suuressa kirjastossa ovat? Onko Dalvik reikￜinen?
Ei, Dalvik ei, mutta Google Play on, jopa niin ettￜ en enￜￜ tiedￜ
ostaakko Android puhelinta vai ei. Googlea ei nￜￜmmￜ kiinnosta paskan
vertaa minkï¿œlaisia viruksia/troijalaisia Play-storessa on.
CERTin tietokantaa selaamalla nￜkee, ettￜ reikiￜ on kaikkialla Javassa.
Uusia metodeja joilla voi tehdￜ kaikkea "jￜnnￜￜ" ripotellaan joka
puolelle ja nehￜn tietenkin sitten tekee "kaikkea jￜnnￜￜ". Suuri osa
rei'istￜ on tosin "unspecified" - piilottamallahan ongelmat katoaa.
Niin, eikￜ Java ole ainoa. Google tuli jo mainittua. Linuxin kernelissￜ
on harva se kuukausi joku reikￜ, Firefox, Chrome, IE, Safari, Flash,
harva se viikko. Ilmeisesti yhtￜￜn softan kehittￜjￜￜ ei enￜￜ kiinnosta
tippaakaan. Ilmeisesti kaikkien softan kehittï¿œjien mentaliteetti on
"nopea kehitys ja korjataan sitￜ mukaa kun ilmenee".
Lopuksi onnitteluni Oraclelle: Java on onnistunut tekemￜￜn "high
scoren". Kiitokseni siitￜ Oraclelle ja siellￜ Javan kanssa
tyￜ^H^Heeskenteleville. Olette varmasti ylpeitￜ tyￜnne tuloksista.
Etenkin suhtautumisenne korjausten julkaisuun on vailla vertaistaan.
--
@jhol
www.iki.fi/jhol
Java on "hiekkalaatikossa", siinￜ on turvallisuusominaisuuksia
rakennettu sisￜￜn, jne.
<http://www.oracle.com/technetwork/java/javase/tech/index-jsp-136007.html>
Mutta silti katiskalla saa lapattua vettￜ paremmin kuin Javalla.
Missￜ meni pieleen, kuka mokasi? Ei varmaan ole yhtￜ henkilￜￜ, mutta
mokan tￜytyy olla sekￜ arkkitehtuuri-, suunnittelu-, koodaus- ettￜ
testauskulttuureissa. Ketￜￜn ei ole kiinnostanut, eli kaikki ovat
kuvitelleet ettￜ kun ajamme bytecodea kaikki on turvallista ja hienoa.
Yllￜ antamani linkin takana on linkki Javan security-bugeihin, eli
sivulle: <http://www.oracle.com/technetwork/java/chronology-142681.html>
"See Sun alret notifications" naurettavan ja sￜￜlittￜvￜn vￜlimaastossa
:-D Kertoo KAIKEN Javan tietoturvasta.
Tuo moka, miten se lienee pￜￜssyt Oraclelle kylￜￜn, on niin suuri ettￜ
olen pￜￜttￜnyt repiￜ Javan helevettiin koneestani. Koska selvￜsti
kielenￜ se on nￜￜmmￜ turvattomamapi kuin hￜkkihￜkki C ilman
ylivuototarkistuksia niin mihin helvettiin sitￜ tarvii?
Missￜ nuo reiￜt Javan suuressa kirjastossa ovat? Onko Dalvik reikￜinen?
Ei, Dalvik ei, mutta Google Play on, jopa niin ettￜ en enￜￜ tiedￜ
ostaakko Android puhelinta vai ei. Googlea ei nￜￜmmￜ kiinnosta paskan
vertaa minkï¿œlaisia viruksia/troijalaisia Play-storessa on.
CERTin tietokantaa selaamalla nￜkee, ettￜ reikiￜ on kaikkialla Javassa.
Uusia metodeja joilla voi tehdￜ kaikkea "jￜnnￜￜ" ripotellaan joka
puolelle ja nehￜn tietenkin sitten tekee "kaikkea jￜnnￜￜ". Suuri osa
rei'istￜ on tosin "unspecified" - piilottamallahan ongelmat katoaa.
Niin, eikￜ Java ole ainoa. Google tuli jo mainittua. Linuxin kernelissￜ
on harva se kuukausi joku reikￜ, Firefox, Chrome, IE, Safari, Flash,
harva se viikko. Ilmeisesti yhtￜￜn softan kehittￜjￜￜ ei enￜￜ kiinnosta
tippaakaan. Ilmeisesti kaikkien softan kehittï¿œjien mentaliteetti on
"nopea kehitys ja korjataan sitￜ mukaa kun ilmenee".
Lopuksi onnitteluni Oraclelle: Java on onnistunut tekemￜￜn "high
scoren". Kiitokseni siitￜ Oraclelle ja siellￜ Javan kanssa
tyￜ^H^Heeskenteleville. Olette varmasti ylpeitￜ tyￜnne tuloksista.
Etenkin suhtautumisenne korjausten julkaisuun on vailla vertaistaan.
--
@jhol
www.iki.fi/jhol
Reijo Korhonen
Mar 8, 2013, 2:04:05 AM3/8/13
to
On Fri, 08 Mar 2013 03:59:28 +0200, Jouko Holopainen wrote:
> Java lienee erinomainen esimerkki nykyisestä ohjelmistonkehityksen
> tasosta.
>
> Java on "hiekkalaatikossa", siinä on turvallisuusominaisuuksia
> rakennettu sisään, jne.
> <http://www.oracle.com/technetwork/java/javase/tech/index-
jsp-136007.html>
>
> Mutta silti katiskalla saa lapattua vettä paremmin kuin Javalla.
Varmaankin, katiska on reaalimaailman esine, java ei, mutta veikkaan että
ero ei silti ole iso. En ole kyllä kokeillut ;-)
> Missä meni pieleen, kuka mokasi?
Pieleen meni, mutta mikä? Mietitäänpä. Java on hieno kieli, ehkä nykyisin
laajin platformi, josta löytyy ratkaisu lähes kaikkeen muuhun, kuin
sellaiseen jossa pitää päästä käsiksi todelliseen laitteeseen. Siihen ei
sentään vertuaalikoneessa pyörivä ohjelma pysty, jollei saa käyttöönsä
kirjastoa, jolla asia hoidetaan.
Kun jotain käytetään paljon, niin siitä löytyy myös turvallisuusongelmia.
Jos jotain ei käytetä, ei siitä ongelmiuakaan löydy. Tämä selittää paljon
sitä, miksi Javan web-applikaatioista tirvallisuusongelmia on löydetty
paljon, muilla tekniikoilla tehtynä vähemmän. Kun niitä muita toteutuksia
on niin vähän, Javalla asiat on helpompi tehdä.
Javassa on nettikäytössä siis turvallisuusongelmaa, jota tosin on
kaikessa nettikäytössä. Ihminen on paha ja jos pahaa pääsee tekemään,
niin joku sitä tekee. Netin kautta se onnistuu.
Natiivijavaa ajetaan kuitenkin nykyisin suljetuissa ympäristöissä. Niissä
käyttäjät tiedetään.
Javaa ei enää ajeta selaimessa, sillä vaikka itse web-aplikaatio olisikin
tehty javalla ja suurimassa osassa toteutuksia onkin, javaa atetaan
serverillä joka web-sivut tuottaa, mutta ei käyttäjän konella selaimessa.
Tällöin käyttäjä ei myöskään pääse Javan kautta serverille, hänellä on
vain selain käytössään ja turvallisuusongelmat ovat http-protokollan
turvallisuusongelmia, siis riippumattomia siitä miten serverin toteutus
on tehty, sillä serverin toteutus ei näy käyttäjälle muuten kuin
epäsuorasti. Niistä Javan-ongelmista, joissa ohjelmaa ajettaisiin
käyttäjän koneella selaimessa, ei siis kannata välittää, jos haluaa
tietää ongelman laajuuden. Kuinka monta sellaista Java-
turvallisuusongelmaa on auki, joissa Java on ajossa serverissä, mutta ei
käyttäjän koneella. 99.999% toteutuksista on juuri sellaisia, luuken
minä. Toedossani on vain se yksi onneton pankki, joka vaatii javaa
ajettavan käyttäjän koneella, muita tilanteita en tiedä.
Jos server-toteutus sallii käyttäjätietojen näkymisen http-requestissa
tai siinä on tietokantakysely suoraan näkyvissä, kyseessä ei ole java-
ongelma. Jos tälläisua toteutuksia on, niin varmasti joku kokeilee
sellaisiakin kyselyitä, joita ohjelmien tekijät eivät ole alkunperin
tavalliselle käyttäjälle antaneet, vaan jotka kuuluvat esimerkiksi
ylläpidolle. Tämä ei toki ole sallittua, mutta ovea ei saa jättää auki.
Muuten voi käydä varkaita. Senhän tiedämme reaalimaailmasta.
--
Re...@iki.fi.nospam.invalid
http://www.iki.fi/Reijo
> Java lienee erinomainen esimerkki nykyisestä ohjelmistonkehityksen
> tasosta.
>
> Java on "hiekkalaatikossa", siinä on turvallisuusominaisuuksia
> rakennettu sisään, jne.
> <http://www.oracle.com/technetwork/java/javase/tech/index-
jsp-136007.html>
>
> Mutta silti katiskalla saa lapattua vettä paremmin kuin Javalla.
Varmaankin, katiska on reaalimaailman esine, java ei, mutta veikkaan että
ero ei silti ole iso. En ole kyllä kokeillut ;-)
> Missä meni pieleen, kuka mokasi?
Pieleen meni, mutta mikä? Mietitäänpä. Java on hieno kieli, ehkä nykyisin
laajin platformi, josta löytyy ratkaisu lähes kaikkeen muuhun, kuin
sellaiseen jossa pitää päästä käsiksi todelliseen laitteeseen. Siihen ei
sentään vertuaalikoneessa pyörivä ohjelma pysty, jollei saa käyttöönsä
kirjastoa, jolla asia hoidetaan.
Kun jotain käytetään paljon, niin siitä löytyy myös turvallisuusongelmia.
Jos jotain ei käytetä, ei siitä ongelmiuakaan löydy. Tämä selittää paljon
sitä, miksi Javan web-applikaatioista tirvallisuusongelmia on löydetty
paljon, muilla tekniikoilla tehtynä vähemmän. Kun niitä muita toteutuksia
on niin vähän, Javalla asiat on helpompi tehdä.
Javassa on nettikäytössä siis turvallisuusongelmaa, jota tosin on
kaikessa nettikäytössä. Ihminen on paha ja jos pahaa pääsee tekemään,
niin joku sitä tekee. Netin kautta se onnistuu.
Natiivijavaa ajetaan kuitenkin nykyisin suljetuissa ympäristöissä. Niissä
käyttäjät tiedetään.
Javaa ei enää ajeta selaimessa, sillä vaikka itse web-aplikaatio olisikin
tehty javalla ja suurimassa osassa toteutuksia onkin, javaa atetaan
serverillä joka web-sivut tuottaa, mutta ei käyttäjän konella selaimessa.
Tällöin käyttäjä ei myöskään pääse Javan kautta serverille, hänellä on
vain selain käytössään ja turvallisuusongelmat ovat http-protokollan
turvallisuusongelmia, siis riippumattomia siitä miten serverin toteutus
on tehty, sillä serverin toteutus ei näy käyttäjälle muuten kuin
epäsuorasti. Niistä Javan-ongelmista, joissa ohjelmaa ajettaisiin
käyttäjän koneella selaimessa, ei siis kannata välittää, jos haluaa
tietää ongelman laajuuden. Kuinka monta sellaista Java-
turvallisuusongelmaa on auki, joissa Java on ajossa serverissä, mutta ei
käyttäjän koneella. 99.999% toteutuksista on juuri sellaisia, luuken
minä. Toedossani on vain se yksi onneton pankki, joka vaatii javaa
ajettavan käyttäjän koneella, muita tilanteita en tiedä.
Jos server-toteutus sallii käyttäjätietojen näkymisen http-requestissa
tai siinä on tietokantakysely suoraan näkyvissä, kyseessä ei ole java-
ongelma. Jos tälläisua toteutuksia on, niin varmasti joku kokeilee
sellaisiakin kyselyitä, joita ohjelmien tekijät eivät ole alkunperin
tavalliselle käyttäjälle antaneet, vaan jotka kuuluvat esimerkiksi
ylläpidolle. Tämä ei toki ole sallittua, mutta ovea ei saa jättää auki.
Muuten voi käydä varkaita. Senhän tiedämme reaalimaailmasta.
--
Re...@iki.fi.nospam.invalid
http://www.iki.fi/Reijo
Reijo Korhonen
Mar 8, 2013, 2:22:07 AM3/8/13
to
On Fri, 08 Mar 2013 07:04:05 +0000, Reijo Korhonen wrote:
> Javaa ei enää ajeta selaimessa, sillä vaikka itse web-aplikaatio
> olisikin tehty javalla ja suurimassa osassa toteutuksia onkin, javaa
> ajetaan serverillä joka web-sivut tuottaa, mutta ei käyttäjän konella
> Javaa ei enää ajeta selaimessa, sillä vaikka itse web-aplikaatio
> olisikin tehty javalla ja suurimassa osassa toteutuksia onkin, javaa
> selaimessa.
> Niistä Javan-ongelmista, joissa ohjelmaa
> ajettaisiin käyttäjän koneella selaimessa, ei siis kannata välittää, jos
> haluaa tietää ongelman laajuuden. Kuinka monta sellaista Java-
> turvallisuusongelmaa on auki, joissa Java on ajossa serverissä, mutta ei
On Fri, 08 Mar 2013 03:59:28 +0200, Jouko Holopainen wrote:
> sivulle: <http://www.oracle.com/technetwork/java/chronology-142681.html>
> "See Sun alret notifications" naurettavan ja säälittävän välimaastossa
> :-D Kertoo KAIKEN Javan tietoturvasta.
Selataanpas listaa alusta
"November 19, 2002 - CERT has reported a bug in the zlib compression
library (see www.cert.org/advisories/CA-2002-07.html). Sun's
implementations of the Java Runtime Environment include zlib and are
affected. This bug may allow malicious code to corrupt memory and
possibly crash the Java Runtime Environment."
Tämähän on C-kirjaston tietoturvaongelma, ei Javan. Ei koske tavallista
käyttäjää, joka ei ajata Javaa omassa koneessan web-serverinä.
"March 19, 2002 - A vulnerability in the Java Runtime Environment Bytecode
Verifier may be exploited by an untrusted applet to escalate privileges."
Applettitoteutuksia ei nykyisin tehdä eli appletteja ei ajeta käyttäjän
selaimessa.
"March 19, 2002 - A Java Web Start application may gain access to
restricted resources."
Ei koske käyttäjää, joka ei aja javaa selaimessaan.
"March 6, 2002 - A vulnerability in the Java Runtime Environment may
allow an untrusted applet to monitor requests to and responses from an
HTTP proxy server when a persistent connection is used between a client
and an HTTP proxy server."
Ei koske käyttäjää, joka ei aja javaa selaimessaan.
"January 25, 2002 - The Java Runtime Environment may be vulnerable to a
denial-of-service attack where a remote client may cause a Java server
process to exit."
Ei koske käyttäjää, joka ei aja javaa selaimessaan.
"October 25, 2001 - A vulnerability in the Java Runtime Environment may
allow an untrusted applet to access the system clipboard."
Ei koske käyttäjää, joka ei aja javaa selaimessaan. Jne. Nämähän on
kaikki appletti.turvallisuusbugeja ja applettitoteutuksia ei nykyin tehdä.
Esimerkiksi uusin Java EE-6 toteutus joka näkyy hyvin Oraclen sivuilla
ohjeistaa ja kertoo selvästi, että ei ole syytä toteuttaa asioita
appleteilla nettiin.
On väärin antaa kuva siitä, että kyseessä olisi Javan
turvallisuusongelma. Ongelmaa on vain toteutuksissa, joissa käytetään
vanhanaikaisesti appletteja. Java toimii sen sijaan turvallisesti
serverillä, jonne muutenkaan ei saa päästää ulkopuolisia ajamaan
ohjelmiaan. Kuten sanottu, Java on hyvä alusta ja siitä löytyy ratkaisu
hyvin moneen liiketoimintaan. Siksi sitä käytetään paljon ja siksi siitä
löytyy myös paljon virheitä. On hyvä että niitä kaivetaan esiin.
Serveripäässä kuitenkaan ei saa olla toimessa henkilöitä, jotka omaa
pesäänsä likaisivat eli ehdoin tahdoin käyttäisivät hyväkseen näitä
tarvaongelmia. Jos on, niin kyllä he tuhotyönsä pystyisivät tekemään
sellaisillakin ohjelmilla jotka toimivat täysin oikein. Sllaisia tosin ei
taida olla vielä yhtään, kaikki kun ovat ihmisten tekemiä ;-)
--
Re...@iki.fi.nospam.invalid
http://www.iki.fi/Reijo
Ari Saastamoinen
Mar 8, 2013, 5:07:38 AM3/8/13
to
Jouko Holopainen <jh...@iki.invalid.fi> writes:
> Niin, eik� Java ole ainoa. Google tuli jo mainittua. Linuxin kerneliss�
> on harva se kuukausi joku reik�, Firefox, Chrome, IE, Safari, Flash,
Toki noita bugeja l�ytyy kaikista softista, mutta toi linuxin kernelin
kerran kuussa on pahasti liioiteltu, vaikka nyt just viime kuussa
julkaistiinkin aika ik�v� reik�.
T�ss� kun katselen cert.fi:n haavoittuvuuslistaa v�h�n matkaa, niin
ainakin pikaisella silm�yksell� onnistun bongaamaan yhden raportin
t�lt� vuodelta, yhden 2012 ja 2011 en yht��n. En m� tuollaista saldoa
sanois "kerran kuussa" -jutuksi :)
--
Arzka oh3mqu+...@hyper.fi - En halua follareita mailina
1. Valitse sopiva paikka, ei ihmisten tai rakennusten lahella, jossa
paukku voi aiheuttaa hairiota. - Iso-Kiinalaisen kayttoohje
> Niin, eik� Java ole ainoa. Google tuli jo mainittua. Linuxin kerneliss�
> on harva se kuukausi joku reik�, Firefox, Chrome, IE, Safari, Flash,
Toki noita bugeja l�ytyy kaikista softista, mutta toi linuxin kernelin
kerran kuussa on pahasti liioiteltu, vaikka nyt just viime kuussa
julkaistiinkin aika ik�v� reik�.
T�ss� kun katselen cert.fi:n haavoittuvuuslistaa v�h�n matkaa, niin
ainakin pikaisella silm�yksell� onnistun bongaamaan yhden raportin
t�lt� vuodelta, yhden 2012 ja 2011 en yht��n. En m� tuollaista saldoa
sanois "kerran kuussa" -jutuksi :)
--
Arzka oh3mqu+...@hyper.fi - En halua follareita mailina
1. Valitse sopiva paikka, ei ihmisten tai rakennusten lahella, jossa
paukku voi aiheuttaa hairiota. - Iso-Kiinalaisen kayttoohje
Jouko Holopainen
Mar 8, 2013, 8:34:58 AM3/8/13
to
>> Niin, eikￜ Java ole ainoa. Google tuli jo mainittua. Linuxin kernelissￜ
>> on harva se kuukausi joku reikￜ, Firefox, Chrome, IE, Safari, Flash,
>
> Toki noita bugeja lï¿œytyy kaikista softista, mutta toi linuxin kernelin
>
> Tￜssￜ kun katselen cert.fi:n haavoittuvuuslistaa vￜhￜn matkaa, niin
> ainakin pikaisella silmￜyksellￜ onnistun bongaamaan yhden raportin
> tￜltￜ vuodelta, yhden 2012 ja 2011 en yhtￜￜn. En mￜ tuollaista saldoa
Haluatko yrittￜￜ uudestaan?
--
@jhol
www.iki.fi/jhol
>> on harva se kuukausi joku reikￜ, Firefox, Chrome, IE, Safari, Flash,
>
> Toki noita bugeja lï¿œytyy kaikista softista, mutta toi linuxin kernelin
> kerran kuussa on pahasti liioiteltu, vaikka nyt just viime kuussa
> julkaistiinkin aika ikￜvￜ reikￜ.
>
> Tￜssￜ kun katselen cert.fi:n haavoittuvuuslistaa vￜhￜn matkaa, niin
> ainakin pikaisella silmￜyksellￜ onnistun bongaamaan yhden raportin
> tￜltￜ vuodelta, yhden 2012 ja 2011 en yhtￜￜn. En mￜ tuollaista saldoa
> sanois "kerran kuussa" -jutuksi :)
Ubuntu 12.04 oli 3.2.0-24. Nyt on 3.2.0-37.
Haluatko yrittￜￜ uudestaan?
--
@jhol
www.iki.fi/jhol
Ari Saastamoinen
Mar 8, 2013, 11:15:01 AM3/8/13
to
> Haluatko yrittää uudestaan?
En halua. Pelkkä uuden version tuleminen ei välttämättä indikoi sitä,
että siinä olisi korjattu joku reikä. Oletko katsonut changelogista,
että montako oikeata reikää noissa on korjattu? Entäs sellaista
reikää, jotka sinun vaikuttavat sinun koneeseesi?
En halua. Pelkkä uuden version tuleminen ei välttämättä indikoi sitä,
että siinä olisi korjattu joku reikä. Oletko katsonut changelogista,
että montako oikeata reikää noissa on korjattu? Entäs sellaista
reikää, jotka sinun vaikuttavat sinun koneeseesi?
Ari Saastamoinen
Mar 8, 2013, 11:15:48 AM3/8/13
to
Ja sit� paitsi viimeisin on 38 :)
Ari Saastamoinen
Mar 8, 2013, 11:24:27 AM3/8/13
to
Jos nyt katson vaikka komennolla (En katso uusinta, koska se on fakta,
ett� siin� on korjattu vulnerability)
aptitude changelog linux-image-3.2.0-37-generic
Nii tuosta ei ainakaan pikaisella silm�ilyll� osu silm��n ainoankaan
rei�n korjausta, joten miss� on se reikien korjaus kerran kuussa?
ett� siin� on korjattu vulnerability)
aptitude changelog linux-image-3.2.0-37-generic
Nii tuosta ei ainakaan pikaisella silm�ilyll� osu silm��n ainoankaan
rei�n korjausta, joten miss� on se reikien korjaus kerran kuussa?
Jouko Holopainen
Mar 8, 2013, 12:31:48 PM3/8/13
to
On 03/08/2013 09:04 AM, Reijo Korhonen wrote:
> Pieleen meni, mutta mikￜ? Mietitￜￜnpￜ. Java on hieno kieli, ehkￜ nykyisin
Java on surkea kieli. Vanhentunut, monimutkainen, vaikea oppia.
> laajin platformi, josta lï¿œytyy ratkaisu lï¿œhes kaikkeen muuhun, kuin
> sellaiseen jossa pitￜￜ pￜￜstￜ kￜsiksi todelliseen laitteeseen. Siihen ei
> sentￜￜn vertuaalikoneessa pyￜrivￜ ohjelma pysty, jollei saa kￜyttￜￜnsￜ
> kirjastoa, jolla asia hoidetaan.
>
> Kun jotain kￜytetￜￜn paljon, niin siitￜ lￜytyy myￜs turvallisuusongelmia.
Nï¿œinhï¿œn sen ei pitï¿œisi olla, vaan tï¿œsmï¿œlleen pï¿œin vastoin.
> Jos jotain ei kￜytetￜ, ei siitￜ ongelmiuakaan lￜydy. Tￜmￜ selittￜￜ paljon
> sitￜ, miksi Javan web-applikaatioista tirvallisuusongelmia on lￜydetty
> paljon, muilla tekniikoilla tehtynￜ vￜhemmￜn. Kun niitￜ muita toteutuksia
> on niin vￜhￜn, Javalla asiat on helpompi tehdￜ.
Ei selitￜ.
> Javassa on nettikￜytￜssￜ siis turvallisuusongelmaa, jota tosin on
> kaikessa nettikￜytￜssￜ. Ihminen on paha ja jos pahaa pￜￜsee tekemￜￜn,
> niin joku sitￜ tekee. Netin kautta se onnistuu.
Poliitikot harrastavat hyvￜ-veli-jￜrjesstelmￜￜ, jota tosin on kaikessa
poliitiikassa. Se on vain niin, sille ei voi mitￜￜn. Ylinopeudet ja
murhat ja huumeet ja raiskaukset - ihminen on paha eikￜ asialle voi
mitￜￜn. Blaa blaa blaa, blabba blabba blￜￜ - netin kautta se onnistuu.
*JA VITUT!*
> Natiivijavaa ajetaan kuitenkin nykyisin suljetuissa ympￜristￜissￜ. Niissￜ
> kￜyttￜjￜt tiedetￜￜn.
So what?
> Javaa ei enￜￜ ajeta selaimessa,
No ei kun se on totaalisen paska.
> Jos server-toteutus sallii kï¿œyttï¿œjï¿œtietojen nï¿œkymisen http-requestissa
> tai siinￜ on tietokantakysely suoraan nￜkyvissￜ, kyseessￜ ei ole java-
> ongelma.
Jos Java antaa ajaa kenen tahansa mistￜ netin syￜvereistￜ tahansa
"invokeAnything(security securityToUse, bool runAsRoot, boot_sector
rootKit), niin vika on Javassa - piste.
--
@jhol
www.iki.fi/jhol
> Pieleen meni, mutta mikￜ? Mietitￜￜnpￜ. Java on hieno kieli, ehkￜ nykyisin
Java on surkea kieli. Vanhentunut, monimutkainen, vaikea oppia.
> laajin platformi, josta lï¿œytyy ratkaisu lï¿œhes kaikkeen muuhun, kuin
> sellaiseen jossa pitￜￜ pￜￜstￜ kￜsiksi todelliseen laitteeseen. Siihen ei
> sentￜￜn vertuaalikoneessa pyￜrivￜ ohjelma pysty, jollei saa kￜyttￜￜnsￜ
> kirjastoa, jolla asia hoidetaan.
>
> Kun jotain kￜytetￜￜn paljon, niin siitￜ lￜytyy myￜs turvallisuusongelmia.
Nï¿œinhï¿œn sen ei pitï¿œisi olla, vaan tï¿œsmï¿œlleen pï¿œin vastoin.
> Jos jotain ei kￜytetￜ, ei siitￜ ongelmiuakaan lￜydy. Tￜmￜ selittￜￜ paljon
> sitￜ, miksi Javan web-applikaatioista tirvallisuusongelmia on lￜydetty
> paljon, muilla tekniikoilla tehtynￜ vￜhemmￜn. Kun niitￜ muita toteutuksia
> on niin vￜhￜn, Javalla asiat on helpompi tehdￜ.
Ei selitￜ.
> Javassa on nettikￜytￜssￜ siis turvallisuusongelmaa, jota tosin on
> kaikessa nettikￜytￜssￜ. Ihminen on paha ja jos pahaa pￜￜsee tekemￜￜn,
> niin joku sitￜ tekee. Netin kautta se onnistuu.
Poliitikot harrastavat hyvￜ-veli-jￜrjesstelmￜￜ, jota tosin on kaikessa
poliitiikassa. Se on vain niin, sille ei voi mitￜￜn. Ylinopeudet ja
murhat ja huumeet ja raiskaukset - ihminen on paha eikￜ asialle voi
mitￜￜn. Blaa blaa blaa, blabba blabba blￜￜ - netin kautta se onnistuu.
*JA VITUT!*
> Natiivijavaa ajetaan kuitenkin nykyisin suljetuissa ympￜristￜissￜ. Niissￜ
> kￜyttￜjￜt tiedetￜￜn.
So what?
> Javaa ei enￜￜ ajeta selaimessa,
No ei kun se on totaalisen paska.
> Jos server-toteutus sallii kï¿œyttï¿œjï¿œtietojen nï¿œkymisen http-requestissa
> tai siinￜ on tietokantakysely suoraan nￜkyvissￜ, kyseessￜ ei ole java-
> ongelma.
Jos Java antaa ajaa kenen tahansa mistￜ netin syￜvereistￜ tahansa
"invokeAnything(security securityToUse, bool runAsRoot, boot_sector
rootKit), niin vika on Javassa - piste.
--
@jhol
www.iki.fi/jhol
Jouko Holopainen
Mar 8, 2013, 12:33:42 PM3/8/13
to
On 03/08/2013 06:15 PM, Ari Saastamoinen wrote:
> Jouko Holopainen <jh...@iki.invalid.fi> writes:
>
>> Ubuntu 12.04 oli 3.2.0-24. Nyt on 3.2.0-37.
>>
>> Haluatko yrittää uudestaan?
>
> En halua. Pelkkä uuden version tuleminen ei välttämättä indikoi sitä,
> että siinä olisi korjattu joku reikä.
Niin, tiedän, Torvaldsin tarkoitus on tehdä poro-ajurien elämä
> Jouko Holopainen <jh...@iki.invalid.fi> writes:
>
>> Ubuntu 12.04 oli 3.2.0-24. Nyt on 3.2.0-37.
>>
>> Haluatko yrittää uudestaan?
>
> En halua. Pelkkä uuden version tuleminen ei välttämättä indikoi sitä,
> että siinä olisi korjattu joku reikä.
vaikeaksi, mutta en olisi uskonut että versionumeroa pykätään ylöspäin
pelkästään huvin vuoksi.
--
@jhol
www.iki.fi/jhol
Pertti Kosunen
Mar 9, 2013, 5:23:51 AM3/9/13
to
On 8.3.2013 19:33, Jouko Holopainen wrote:
> Niin, tiedän, Torvaldsin tarkoitus on tehdä poro-ajurien elämä
> vaikeaksi, mutta en olisi uskonut että versionumeroa pykätään ylöspäin
> pelkästään huvin vuoksi.
Eikös nuo ole Ubuntun numerointeja eikä Torvaldsin?
> Niin, tiedän, Torvaldsin tarkoitus on tehdä poro-ajurien elämä
> vaikeaksi, mutta en olisi uskonut että versionumeroa pykätään ylöspäin
> pelkästään huvin vuoksi.
Jouko Holopainen
Mar 9, 2013, 2:12:34 PM3/9/13
to
On 03/09/2013 12:23 PM, Pertti Kosunen wrote:
> On 8.3.2013 19:33, Jouko Holopainen wrote:
>> Niin, tiedￜn, Torvaldsin tarkoitus on tehdￜ poro-ajurien elￜmￜ
> On 8.3.2013 19:33, Jouko Holopainen wrote:
>> vaikeaksi, mutta en olisi uskonut ettￜ versionumeroa pykￜtￜￜn ylￜspￜin
>> pelkￜstￜￜn huvin vuoksi.
>
> Eikￜs nuo ole Ubuntun numerointeja eikￜ Torvaldsin?
Ei sillￜ ole vￜliￜ, sillￜ Torvaldsin "nerokas" idea on, ettￜ jos yksikin
digitti eroaa niin ei toimi, ei.
--
@jhol
www.iki.fi/jhol
Ari Saastamoinen
Mar 10, 2013, 8:28:05 AM3/10/13
to
Jouko Holopainen <jh...@iki.invalid.fi> writes:
> Ei sillä ole väliä, sillä Torvaldsin "nerokas" idea on, että jos yksikin
(siis ihan mainlinessä eri version, eikä vain pelkästään
distrovalmistajan oman numeroinnin mukaan) kernelimoduleita
uudemmassa.
> Ei sillä ole väliä, sillä Torvaldsin "nerokas" idea on, että jos yksikin
> digitti eroaa niin ei toimi, ei.
Ai ei vai? Olen joskus käyttänyt ihan sujuvasti vanhemman kernelin
(siis ihan mainlinessä eri version, eikä vain pelkästään
distrovalmistajan oman numeroinnin mukaan) kernelimoduleita
uudemmassa.
Jouko Holopainen
Mar 10, 2013, 9:56:15 AM3/10/13
to
>> Ei sillￜ ole vￜliￜ, sillￜ Torvaldsin "nerokas" idea on, ettￜ jos yksikin
> (siis ihan mainlinessￜ eri version, eikￜ vain pelkￜstￜￜn
--
@jhol
www.iki.fi/jhol
>> digitti eroaa niin ei toimi, ei.
>
> Ai ei vai? Olen joskus kï¿œyttï¿œnyt ihan sujuvasti vanhemman kernelin
>
> (siis ihan mainlinessￜ eri version, eikￜ vain pelkￜstￜￜn
> distrovalmistajan oman numeroinnin mukaan) kernelimoduleita
> uudemmassa.
Kummasti se mulle aina sanoo ettￜ vￜￜrￜ versio, bye bye.
> uudemmassa.
--
@jhol
www.iki.fi/jhol
Reijo Korhonen
Mar 11, 2013, 6:52:25 AM3/11/13
to
On Fri, 08 Mar 2013 18:24:27 +0200, Ari Saastamoinen wrote:
> Jouko Holopainen <jh...@iki.invalid.fi> writes:
>
>> Ubuntu 12.04 oli 3.2.0-24. Nyt on 3.2.0-37.
>
> Jos nyt katson vaikka komennolla (En katso uusinta, koska se on fakta,
> että siinä on korjattu vulnerability)
> Jouko Holopainen <jh...@iki.invalid.fi> writes:
>
>> Ubuntu 12.04 oli 3.2.0-24. Nyt on 3.2.0-37.
>
> Jos nyt katson vaikka komennolla (En katso uusinta, koska se on fakta,
>
> aptitude changelog linux-image-3.2.0-37-generic
>
> Nii tuosta ei ainakaan pikaisella silmäilyllä osu silmään ainoankaan
> reiän korjausta, joten missä on se reikien korjaus kerran kuussa?
Linuxin kerneliä päivitetään käsittääkseni siksi, että se tukisi uusia
laitteita. Jos oma kone toimii, niin harvemmin on syytä päivittää
kerneliä. Minulla koneen kerneli on vanha ja hyvin toimii.
Ennen jaettiin päivitykset pakollisiin eli haavoittuvuuksiin ja
"vapaaehtoisiin" eli parannuspäivityksiin. Tuo kernelinkin
päivitysnumerointi merkitsee sitä parannettua kerneliä, jossa uusimpien
laitteiden tuli on ja ihmisethän ostavat pääosin uusia koneita, joten
hyvä että heille uusimpoia laitteita tukevaa kerneliä tarjotaan, eikö?
Me vanhat jäärät ei välttämättä jakseta päivittää muuten kuin ne
haavoittuvuudet eli tosi harvoin ;-)
--
Re...@iki.fi.nospam.invalid
http://www.iki.fi/Reijo
Tapio Väättänen
Mar 11, 2013, 12:11:51 PM3/11/13
to
On 2013-03-11, Reijo Korhonen <reijo.k...@invalid.invalid> wrote:
> Me vanhat j��r�t ei v�ltt�m�tt� jakseta p�ivitt�� muuten kuin ne
haavoittuvuuksia?
Joku l�pp�ri jolla surffailee ties miss� vierasverkoissa on tietty eri asia;
ainakin remote-rei�t kannattaa paikata, ja samalla menee toki sis��n kaikki
muutkin p�ivitykset.
--
sip:t...@tav.iki.fi http://tav.iki.fi
V�h�n viini� ja ruokaa ei vie meit� konkurssiin -- J.R. Ewing
> Me vanhat j��r�t ei v�ltt�m�tt� jakseta p�ivitt�� muuten kuin ne
> haavoittuvuudet eli tosi harvoin ;-)
Jos kone on turvallisessa (koti)verkossa, niin miksi paikata edes
haavoittuvuuksia?
Joku l�pp�ri jolla surffailee ties miss� vierasverkoissa on tietty eri asia;
ainakin remote-rei�t kannattaa paikata, ja samalla menee toki sis��n kaikki
muutkin p�ivitykset.
--
sip:t...@tav.iki.fi http://tav.iki.fi
V�h�n viini� ja ruokaa ei vie meit� konkurssiin -- J.R. Ewing
0 new messages