Java patching i Norge

[Java. Du trenger ikke å like det, men du må dessverre ha det i Norge.]

Marie Moe i NorCERT er overrasket når Digi.no forteller henne at tall fra sikkerhetsselskapet Mnemonic viser at 78% har enda ikke oppgradert Java programvaren sin til nyeste versjon. Nyeste versjon anses sikker pr dags dato, i betydningen "Ingen offentlig kjente sårbarheter pr dags dato".

Hun burde ikke være overrasket.

Sukk-stønn-pes & bakgrunnsinfo

Hos min forrige arbeidsgiver, EVRY, hadde jeg et overordnet ansvar i over 5 år for å få bedre kontroll på sikkerhetspatching av alle mulige plattformer og programmer. Da jeg fikk det ansvaret var ikke utgangspunktet det aller beste. 6 år etterpå var situasjonsbildet noe helt annet, og det i positiv betydning IMHO. Å få orden på sikkerhetspatching i hvilken som helst bedrift med mer enn noen titalls ansatte kan være en utfordring. Å få oppdatert Java hos alle med pc i Norge er en umulig oppgave.

Litt om Java

Java sjekker om det er kommet oppdateringer automatisk, og minst en gang pr uke. Til sammenligning sjekker Windows som standard en gang pr døgn, eller oftere. Her et skjermbilde fra Java oppsettet på en maskin jeg kjører hjemme:

Java ser etter oppdateringer automatisk, og minst en gang pr uke. Til sammenligning sjekker Windows som standard en gang pr døgn, eller oftere. Merk også at jeg ber om en bekreftelse før ny versjon lastes ned og eventuelt installeres, som vist i bildet over. Standard oppsettet er å laste ned ny utgave automatisk, og deretter gi beskjed til brukeren om at ny versjon er klar for installasjon.

Går man inn på "Advanced" knappen i bildet over, så ser man også at standardoppsettet for Java er å gi deg beskjed om eventuelle nye oppdateringer en gang pr måned.

Problemet hjemme

Dessverre har vi sikkerhetsfolk i mange år fokusert på å "klikke på x-en oppe til høyre" på enhver boks som brukerne ikke skjønner, det er det tryggeste. Jeg tror det skjer stadig vekk den dag i dag når Java sier i et lite vindu nede til høyre i noen sekunder at ny versjon er klar for installasjon.

Legg til reiser, ferie, sykdom, stadig mindre bruk av pc hjemme (til fordel for telefon/nettbrett) og andre årsaker, så har jeg ikke noe problem med å forstå at oppdateringer i de tusen hjem går tregt. Det er bra at Digi skriver om det, VG kjører førsteside og NRK/TV2 snakker om viktigheten av å oppdatere Java på maskinen sin hjemme. Imidlertid bør både NorCERT og de fleste andre innen IT-sikkerhet vite at det ikke er noe problem å finne personer som ikke vet hva Java er, om de har det installert eller om det er oppdatert.

Oracle, firmaet som lager Java, har en fryktelig historikk på sikkerhetssvakheter i sine produkter. De har utvist manglende vilje og sendrektighet med å korrigere og gi ut sikkerhetsoppdateringer. Det blir gradvis bedre, men de har fortsatt et stykke igjen.

Når det gjelder automatiserte og "usynlige" oppdateringer for sluttbrukere, slik f.eks. Google Chrome gjør stadig bedre, så tror jeg på det for private brukere. At mamma, pappa og tanta på 60 skal forholde seg til Java, Flash, Shockwave, Adobe Reader, Chrome, Internet Explorer eller Firefox ser jeg som relativt meningsløst. De foretrekker å forholde seg til enklere begreper, f.eks. "surfe på internett" eller "lese epost". La oss hjelpe dem med det; installer f.eks. Secunia PSI til venner og familie, med automatisk oppdatering av alt. Det hjelper mye, men dessverre vil ikke banker og en rekke andre virksomheter som når mange brukere gi spesifikke anbefalinger. "Gud forby, de kan jo risikere å få supporthenvendelser til kundeservice!"

Hva med bedrifter?

I mange bedrifter er det et sterkt og nødvendig behov for endringskontroll. Det betyr enkelt og greit at bedriften, både internt og overfor sine kunder, trenger å vite hva de har, planlegge hva de skal gjøre, og utføre det etter en dokumentert plan. Ved å ta i bruk automatisk oppdatering slik blant annet Java tilbyr, så risikerer med raskt å få en firkantet revisor på nakken; endringene (oppdateringene) er ikke dokumentert eller rullet ut etter en godkjent plan i avtale med kundene. Risikoen ved å kjøre ut slike oppdateringer uten planlegging og god testing har jeg erfart mange ganger. Alt for mange. 

Jeg vil påstå at i de fleste tilfeller kan vi leve med noen virusinfiserte pcer som har kommet inn via den kompromitterte websiden til håndball laget til jentungen eller fysioterapeuten din. Spesielt når alternativet ville vært å stadig vekk ta ned tilgang til Internett, bytte brukere frem og tilbake mellom ulike nettlesere og en rekke andre tiltak som normalt ville fått ledere til å vurdere omstrukturering av IT-avdelingen.

Oppfølging

Jeg er i gang med en mer ... omstendelig bloggpost om dette med sikkerhetspatching, den kommer nok i løpet av de nærmeste ukene. 

Jeg er åpen for diskusjon og kommentarer her. :-)