Új hozzászólás Aktív témák

• #20 ddekany veterán VeAr #16

  Új Válasz 2010-04-13 17:38:40 #20

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  ddekany

  veterán

  válasz VeAr #16 üzenetére

  Nagyon nem vagyok JWS-ben otthon de... kétlem, hogy aláíratlan alkalmazás bármit is elérhet a helyi fájlokból (már a Sun szándékai szerint), ideértve a jar-okat is, kivéve persze ha rt.jar-ról vagy efféle "gyáriról" van szó. Aláírt alkalmazásnál meg megkérdi a JWS, hogy megbízok-e az aláíróban. És ha jól veszem ki, itt a gáz az, hogy a JVM indításához, ami magát a JWS-t futtatja (tehát nem az azzal telepítendő alkalmazást), át lehet adni tetszőleges parancssori paramétereket... Ez ugye aligha szándékos feature, ami onnan is látszik, hogy egy hack ahogy át vannak adva a paraméterek, meg persze ez eleve elmebeteg ötlet lenne a készítőktől.

  Persze vannak itt más gondok is, mint pl. hogy ki lehet cselezni a Java SecurityManager-ét (ennek semmi köze a JWS-es dologhoz amúgy), tehát amíg valami csak arra épít... Erről mondjuk nekem eleve az a véleményem, hogy addig teljes biztonságról úgysem lehet beszélni, amíg az alkalmazást nem zárjuk brutálisan és elvágóslagosan sandbox-ba, virtuális gépbe OS szinten ill. böngésző szinten. Onnantól kezdve egy exe is biztonságos, annál meg már csak kevesebb rosszat tud elkövezni egy Java alkalmazás, hiába is mászik ki a Java platform saját sandboxából. Ugyan ez vonatkozik a Flash-ra is, meg mindenre... Amíg a biztonságnál a plugin íróira számítunk... megette a fene.

  [ Szerkesztve ]

Új hozzászólás Aktív témák