Google destruiu o mercado para Java, diz Oracle

A Oracle expandiu a extensão da sua batalha em andamento por direitos autorais contra o Android e acusou o Google de “destruir”  o mercado para Java.

A Oracle fez um pedido no final do mês passado para ampliar seu caso contra o Android.

Agora, uma queixa suplementar requerida nesta semana em um tribunal de San Francisco inclui as seis novas versões Android que saíram desde que a Oracle deu entrada no caso originalmente em 2010. São elas: Gingerbread, Honeycomb, Ice Cream Sandwich, Jelly Bean, Kit Kat e Lollipop

“Como aconteceu com versões anteriores do Android, esses seis lançamentos Android copiam milhares de linhas de código fonte da plataforma Java, assim como a estrutura, sequência e organização dessa plataforma”, acusa a Oracle. “Assim como antes, essa cópia constitui violação de direitos autorais.” 

A Oracle ainda destaca que o Android se expandiu para além dos smartphones com o passar do tempo para ser adotado em aparelhos wearables, TVs, carros, e vários aparelhos domésticos. 

A publicidade na plataforma móvel também cresceu dramaticamente, aponta a Oracle, impulsionando assim a principal fonte de rendimentos do Google e permitindo assim que a gigante de buscas “ganhe enormes lucros da exploração direta e indireta do código violado”.

Como resultado de tudo isso, o segmento Java, da Oracle, foi seriamente afetado, aponta o documento.

“Dado o amplo domínio que o Android alcançou com seu contínuo uso desautorizado de 37 pacotes de API Java nos últimos anos, o Android destruiu irreversivelmente a proposta fundamental de valor do Java como um potencial sistema operacional para aparelhos móveis”, afirma a Oracle.

A Oracle busca um julgamento declaratório, uma ordem de proibição, danos e um pedido cobrindo seus e honorários com advogados.

O Google se recusou a comentar o assunto, enquanto que a Oracle não tinha respondido aos nossos pedidos até o fechamento da reportagem.

Via: IDGNow

Jogos clássicos podem ser jogados direto do seu navegador

Vários jogos clássicos foram colocados na internet à disposição do público. Basta ter um navegador e acessar o Internet Arcade, que conta com cerca de 900 títulos, a maioria totalmente funcional.

Colocar tudo isso na web foi iniciativa do JSMESS (JavaScript Mess), um projeto de emulação que tem vários projetos multiplataforma criados graças à linguagem JavaScript.

Jason Scott, que trabalha com o JSMESS, escreveu em seu blog que a ideia de ressuscitar jogos clássicos veio de uma curiosidade: quão difícil seria desenvolver games arcade? "Acabou sendo fácil. Muito, muito fácil", afirmou.

Para acessar, clique aqui.

Via: olhardigital

Novo vírus usa Java para atacar Windows, Mac e Linux

A empresa de segurança Kaspersky Lab detectou um novo vírus multiplataforma capaz de comprometer os sistemas operacionais Windows, Mac OS e até Linux por meio do Java. Os criminosos utilizaram a vulnerabilidade CVE-2013-2465 para transformar os computadores em "zumbis" e infectar usuários, que nem sabem da existência do malware.

Quando o computador é iniciado, o vírus é copiado para o diretório do usuário e executado na inicialização do sistema. O protocolo IRC bot controla o bot e usa o framework PircBot para implementar a comunicação.

Depois de instalado na inicialização do sistema, o malware relata o funcionamento do PC para seus criadores. Para assimilar os bots, um identificador exclusivo é gerado em cada máquina de usuário e o identificador é salvo no arquivo jsuid.dat, que dá acesso irrestrito ao sistema.

O vírus é projetado para realizar ataques de negação de serviço (DDoS) por meio das máquinas dos usuários infectados. Informações adicionais sobre a ameaça podem ser encontradas neste link, em inglês. 

A empresa de segurança recomenda manter a aplicação Java atualizada. Ao clicar aqui, o usuário sabe se a versão que está utilizando é a mais recente.

Via: olhardigital

Pesquisadores encontram duas novas vulnerabilidades 0-day no Java

Uma empresa de segurança polonesa, conhecida por identificar vulnerabilidades do Java, relatou na segunda-feira (25/2) mais dois novos bugs no plug-in do software para navegadores.

Em sua página de status de bugs, a Security Explorations disse que enviou detalhes das falhas, incluindo o código prova de conceito de exploração à Oracle.

"Olhamos novamente o Java SE 7, liberado pela empresa em 19 de fevereiro", disse Adam Gowdiak, por e-mail. "Como resultado, identificamos outras duas questões de segurança que, quando combinadas, podem ser utilizadas com sucesso para ignorar completamente a sandbox (sistema de segurança) do software no ambiente do Java SE 7 Update 15 (1.7.0_15-b03)", e atacar browsers de máquinas que possuem o plug-in do software instalado.

As novas vulnerabilidades afetam apenas o Java 7, disse Gowdiak em outro e-mail. O Java 6, que a Oracle oficialmente não oferece mais suporte, não contém os erros.

A linguagem de programação tem enfrentado um número crescente de vulnerabilidades 0-day, erros que são explorados por criminosos antes que sejam corrigidos, ou mesmo de conhecimento do fornecedor. A Oracle foi obrigada a liberar patches de emergência duas vezes este ano para "tapar esses buracos".

O mais recente constrangimento da empresa surgiu depois de uma porção de relatos de que grandes empresas de tecnologia - incluindo Facebook, Apple e Microsoft - teriam sido atacadas por crackers que exploraram uma vulnerabilidade Java para sequestrar computadores pertencentes a seus engenheiros.

Esses ataques originaram de um fórum popular online para desenvolvedores iOS, iPhoneDevSDK, que cibercriminosos haviam comprometido previamente e, em seguida, realizaram ataques "drive-by" com exploits Java. "Ficamos realmente surpresos ao saber que tantas empresas de tecnologia tinham sido vítimas de uma vulnerabilidade de segurança do Java", disse Gowdiak. "Parece que os alertas sobre problemas de segurança com o software que temos visto desde abril de 2012 não foram ouvidos em todo o Vale do Silício".

Gowdiak se recusou a dar mais informações sobre o caso, já que ainda não há correção para a falha. Mas ele afirmou que a vulnerabilidade envolve a interface de programação do Java, a Reflection API.

Via: IDG Now

Oracle libera Update 13 do Java e corrige 50 vulnerabilidades

A Oracle anunciou nesta sexta-feira (1/2) que liberou o Java7 Update 13, que corrige 50 vulnerabilidades. Destas, 44 afetam especificamente o plugin do software em navegadores - ou seja, podem ser exploradas em desktops por meio de aplicações web e applets Java.

Segundo o site The Next Web, a atualização vem completamente fora de escala - ela foi originalmente programada para 19 de fevereiro, mas o motivo para a pressa é que a empresa foi notificada sobre "uma das vulnerabilidades estar sendo ativamente explorada na rede e afeta o Java Runtime Environment dos browsers".

Curiosamente, a Oracle pulou o update 12 e ainda não está claro o porquê.

Para quem ainda está utilizando o software, a atualização pode ser baixada diretamente no site da Oracle.

Via: IDG Now

Oracle continuará a empurrar 'software-lixo' junto com o Java

A Oracle não irá desistir tão cedo de disseminar o que críticos chamam de "crapware" e "foistware" com o seu instalador do Java, insinuou um representante da empresa na semana passada.

Crapware e foistware são softwares inúteis instalados juntamente com programas legítimos. Podem ser plugins, addons e qualquer software instalado de forma indesejada e até enganosa - sem o conhecimento ou autorização do usuário.

Essa prática de oferecer outro software juntamente com as atualizações do Java, incluindo as emergenciais de segurança para a correção de vulnerabilidades graves, novamente foi criticada após a divulgação de técnicas enganosas que a Oracle estaria utilizando.

Durante a conferência com líderes do Java User Groups (JUG), Doland Smith, chefe da equipe OpenJDK da Oracle, citou obrigações contratuais que o impedem de discutir acordos de negócios em detalhes. Mas ele deu a entender que não haverá mudanças tão cedo.

"Quando você tem uma relação comercial como esta, não apenas está lidando com as suas próprias políticas de comunicação e reconhecimento de receitas e todo o tipo de coisa, mas também tem uma parceria comercial e um acordo que você tem que cumprir", disse Smith.

O grande problema

Atualmente, o instalador do Java para Windows inclui uma oferta para a barra de ferramentas de navegador "Ask.com". A menos que os usuários explicitamente desabilitem a caixa para a instalação na tela do Java, a barra de ferramentas padrão do navegador automaticamente muda para a Ask.com.

Isso chamou a atenção do blogueiro de longa data do Windows, Ed Bott, da ZDNet, e também de Ben Edelman, professor associado da Universidade de Harvard e especialista em adware, fraude online e privacidade na Internet.

Em artigos publicados em 22 de janeiro, Bott e Edelman criticaram a Oracle por "empurrar" a Ask.com ao usuário. Bott descobriu que a barra de ferramentas não foi imediatamente instalada, mas somente 10 minutos após concluir a instalação do Java.

"Eu nunca vi um programa legítimo com um instalador que se comportasse dessa forma", disse Bott, que especulou que a técnica foi uma tentativa de esconder a instalação da barra de ferramenta de usuários tecnicamente avisados.

Edelman também foi rude ao criticar a Oracle e considerou a instalação da Ask.com enganosa. O pior, disse ele, é que a oferta foi incluída com as atualizações críticas do Java, que corrigiam as recentes vulnerabilidades 0-day exploradas ativamente por criminosos.

"Os updates são necessários apenas porque resultam de uma falha de segurança grave do Java", disse Edelman. "É preocupante ver o lucro da Oracle por conta desta brecha, usando uma atualização de segurança como oportunidade para pressionar os usuários a instalarem o software de publicidade extra."

Ao ligar software indesejados com atualizações de segurança, a Oracle está ensinando os usuários a desconfiarem do seu processo de correção, acrescentou Edelman.

Via: IDG Now

Mesmo após update, Java continua sendo ameaça à segurança dos usuários

As novas configurações de segurança do Java, projetadas para bloquear ataques drive-by download do navegador, podem ser contornadas por crackers, disse um pesquisador no domingo (27/1). Vale lembrar que ataques desse tipo instalam automaticamente malwares nas máquinas de usuários que visitam sites comprometidos.

A notícia veio na sequência de várias e embaraçosas vulnerabilidades 0-day, e do recente compromisso assumido pelo chefe de segurança do Java de que a sua equipe corrigiria os bugs no software.

As configurações de segurança do Java que podem ser contornadas foram introduzidas no mês passado, com o Java 7 Update 11. Essas disposições permitem que os usuários decidam quais applets podem ser executados dentro dos navegadores. A mais rigorosa das quatro configurações supostamente bloqueia qualquer applet não-assinado com um certificado digital válido.

Outras restrições aprovam livremente a maioria dos applets não-assinados, executam applets não-assinados somente se o próprio Java estiver atualizado, ou exibem um aviso antes que applets não-assinados sejam executados.

Mas, de acordo com CEO da Security Explorations Adam Gowdiak, nenhuma dessas configurações chega a atrapalhar um cracker. "O que descobrimos é que o código Java não-assinado pode ser executado com sucesso em um sistema-alvo Windows, independente do nível de segurança definido pelo usuário no Painel de Controle do Java", escreveu o especialista em um post no domingo (27/1), na lista de discussão Bugtraq. "O 'alto' ou 'muito alto' não importa muito aqui. Ainda assim o código será executado."

Seguro, mas nem tanto

Depois de identificar a vulnerabilidade e criar um exploit prova-de-conceito que funciou no Java 7 Update 11 (a versão lançada há duas semanas) rodando em Windows 7, Gowdiak reportou o bug para a Oracle.

Sua descoberta torna discutível - pelo menos em teoria - a última alteração de segurança da Oracle. Quando liberou a atualização de emergência em 13 de janeiro para anular duas vulnerabilidades críticas do plug-in do Java, incluindo uma que foi ativamente explorada por cibercriminosos, a Oracle também redefiniu automaticamente o Java para o nível de segurança "Alto". Nessa configuração, o software notifica os usuários antes que eles possam executar applets não-assinados.

Embora não haja evidências de que crackers estejam explorando essa nova vulnerabilidade, Gowdiak deu a entender que não seria difícil para eles o fazerem. "Ela deve ser considerada", disse Gowdiak. "Estamos realmente surpresos ao descobrir o quão trivial é contornar essas novas configurações de segurança."

Os cibercriminosos intensificaram seus ataques contra o Java e o seu plug-in, e algumas empresas de segurança estimam que eles sejam responsáveis ​​por mais de metade de todas as tentativas de explorações. Na maioria das vezes, exploits Java são utilizados para realizar ataques drive-by download.

Gowdiak publicou sua reivindicação poucos dias depois de a Oracle lançar uma gravação de uma conferência entre os líderes do grupo de usuários Java e o principal gerente sênior de produto, Milton Smith, responsável por supervisionar a segurança do software. Eles discutiram as recentes vulnerabilidades e o caminho que a Oracle estava tomando.

Durante a chamada, Smith explicou os aperfeiçoamentos de segurança para o Java 7, incluindo a introdução das configurações do Update 10 e a mudança do padrão de "médio" para "alto" do Update 11. "As mudanças efetivamente fazem com que applets não-assinados não sejam executados sem um aviso", disse Smith. "Algumas das coisas que estávamos vendo eram feitos silenciosos, onde as pessoas clicam em um link dentro de um e-mail e sem querer comprometem a máquina. Mas agora, essas características realmente impedem isso. Mesmo que o Java tenha um exploit, seria muito difícil atacar em silêncio."

Mas, de acordo com Gowdiak, não é bem assim que acontece. "As melhorias de segurança feitas recentemente para o Java 7 de jeito nenhum impedem ataques silenciosos", escreveu o especialista no Bugtraq.

Quando questionado sobre como os usuários que necessitam executar o Java em seu navegador devem se proteger, Gowdiak sugeriu que eles migrassem para um navegador com "click-to-play" - um recurso que obriga os usuários a autorizar explicitamente a execução de um plug-in. Tanto o Chrome quanto o Firefox incluem o click-to-play. "Isso pode ajudar a prevenir a exploração automática e silenciosa de vulnerabilidades conhecidas e ainda não corrigidas do plug-in do Java", disse Gowdiak.

Via: IDG Now

Nova vulnerabilidade 0-day do Java é vendida por US$ 5 mil

Para o Oracle, é como um déjà vu, tudo de novo.

Poucos dias depois de ter lançado uma correção para uma falha de segurança grave do Java, a linguagem de programação é manchete novamente. E pelo menos problema. Outra falha anteriormente desconhecida do programa ameaça a segurança de milhões de computadores que ainda podem estar executando o aplicativo.

A Oracle lançou uma correção de emergência no domingo (13/1) para uma falha do Java tão grave que o Departamento de Segurança Interna dos EUA recomendou aos usuários de computador que desativassem o software a menos que o seu uso fosse "absolutamente necessário".

Esse conselho foi repetido na segunda-feira (14/1) pela equipe do departamento de Respostas às Emergências de Computadores dos Estados Unidos (US-CERT, em inglês, U.S. Computer Emergency Readiness Team), mesmo depois que o patch foi liberado para os usuários.

Vulnerabilidade à venda

Agora relataram que um vendedor malicioso (Black Hat) pôs à venda uma nova vulnerabilidade 0-day para a última versão do Java (versão 7, atualização 11) para até dois compradores por 5 mil dólares cada.

Versões efetivas do código fonte da vulnerabilidade foram oferecidas pelo vendedor, de acordo com o blogueiro de segurança Brian Krebs, que descobriu a oferta em um fórum de cibercrime exclusivo.

Desde que Krebs descobriu a oferta, disse ele, ela foi removida da página, sugerindo que o vendedor encontrou seus compradores do seu produto.

"Para mim, isso deve acabar com quaisquer ilusões de que as pessoas podem confiar na segurança de ter o Java instalado em um PC do usuário final, sem tomar as medidas necessárias para isolar o programa", escreveu Krebs.

Esta vulnerabilidade Java é pior do que a última, porque ninguém sabe o que é, de acordo com o analista-sênior de ameaças online da empresa de antivírus Bitdefender, Bogdan Botezatu.

Na falha corrigida no domingo, explicou, o código de exploração foi identificado por pesquisadores de segurança em alguns kits de exploração populares. Mas essa última falha é conhecida apenas pelo vendedor. "O método atual de exploração deverá permanecer desconhecido por um longo período de tempo, o que também aumentará as oportunidades de ataques para crackers", disse Botezatu por e-mail.

Via: IDG Now

Está na hora de reescrever o Java do zero, alerta Bitdefender

As recorrentes falhas de segurança resultam em uma sucessão de ameaças e patches, e pode ser tarde demais para consertar o código existente

Se a última vulnerabilidade do Java significa alguma coisa, é que está na hora de a Oracle reescrever a linguagem de programação.

Ao menos é o que acha Bogdan Botezatu, analista sênior de ameaças online da Bitdefender. A empresa de antivírus com sede na Romênia estima que ao menos 100 milhões de computadores estejam vulneráveis a ataques por conta da última vulnerabilidade 0-day do Java.

"A Oracle precisa pegar alguns componentes centrais do Java e escrevê-los do zero", disse o especialista, em uma entrevista.

O problema com produtos mais maduros, como o Java e os da Adobe, é que eles passaram por muitas mãos ao longo dos anos. "Esses produtos se tornaram tão grandes e foram desenvolvidos por tantos programadores que as fabricantes muito provavelmente perderam o controle sobre o que está no produto", disse Botezatu.

Lutando contra falhas

Os resultados dos recentes esforços da Oracle em corrigir as vulnerabildiades em Java reafirmam o que o especialista da Bitdefender disse.

Por exemplo, a Oracle corrigiu três vulnerabilidades em segurança em agosto de 2012, juntamente com o lançamento do Java 7, versão 7 rev. 7. Algumas horas depois de liberar o patch, o fundador e CEO da Security Explorations, Adam Gowdiak, encontrou uma vulnerabilidade causada pela atualização.

Alguns especialistas em segurança dizem que o Java sobreviveu ao seu papel, mas suas funções são manipuladas por outras tecnologias.

A última vulnerabilidade 0-day encontrada na linguagem de programação pode também ser atribuída a uma correção feita pela atualização de segurança liberada em outubro do ano passado. Essa atualização estava incompleta e abriu uma brecha para a vulnerabilidade descoberta na semana passada, de acordo com Gowdiak.

"Agora é uma boa hora para reescrever alguns dos principais componentes do início e garantir que eles estejam livres de bugs, em vez de continuamente liberar correções para a aplicação, de uma versão para outra", disse Botezatu.

O analista reconhece, no entanto, que isso é improvável de acontecer. "A Oracle não está aberta a fazer grandes mudanças, porque eles poderiam quebrar aplicações já existentes no mercado", acrescentou.

O problema que a empresa enfrenta com o desenvolvimento do Java é o mesmo que enfrentam todas as fabricantes de softwares: como melhorar um programa sem que destrua a compatibilidade com as versões anteriores?

"Olhe para o Windows Vista e veja como ele falhou em sua adoção, porque alguns aplicativos dos consumidores não funcionavam do XP para Vista", explicou Botezatu.

No entanto, alguns sinais indicam que a Oracle está tentando resolver algumas das questões levantadas por Botezatu. Na sexta-feira (12/1), a empresa anunciou que, começando pelo lançamento do Java 8 em setembro, novos lançamentos serão feitos por um cronograma de dois anos.

Via: CIO

Descoberta grave vulnerabilidade no Java

A partir da última sexta-feira (11) diversas notas passaram a circular na grande rede chamando a atenção para a última atualização do Java (u10 para o Java 7 ), a qual possui uma vulnerabilidade grande que afeta todos os sistemas operacionais (Windows, Mac OS X e Linux), e levando em consideração que a fonte é o CERT dos EUA, devemos levar essa informação com a devida consideração.

A vulnerabilidade afeta a atualização 10 e também as versões anteriores do Java 7 e permitiria ao invasor criar uma página web para abrir caminho para o computador do usuário e, assim, executar um código malicioso na máquina contaminada. É, portanto, uma questão a ser levada muito a sério, especialmente devido a descoberta do Trojan chamado Mal/JavaJar-B que utiliza esta vulnerabilidade.

Felizmente, a Oracle começou a disponibilizar a atualização 11 no domingo (13) e a recomendação para todos é realizar o download ou desativar o Java para evitar problemas.

Via: GuiadoPC

Nova falha do Java ameaça todos os PCs e não tem correção

Uma vulnerabilidade Java anteriormente desconhecida (também chamada de 0-day) e ainda sem correção está sendo utilizada em ataques por cibercriminosos para infectar computadores com malware, de acordo com pesquisadores em segurança. E o Brasil está entre os países mais afetados.

Um pesquisador de malware independente, que usa o pseudônimo de Kafeine, reportounesta quinta (10) a existência do exploit na rede. Crackers estão usando tais kits de exploração para silenciosamente instalar o malware nas máquinas dos usuários que visitam sites comprometidos - ataques conhecidos como drive-by download.

"Há múltiplas redes de publicidade (ad networks) redirecionando para sites infectados, ampliando o problema. Encontramos anúncios em sites legítimos, especialmente na Inglaterra, Brasil e Rússia, que levam para domínios com o exploit. Isso inclui sites de previsão do tempo, notícias e, claro, pornografia", escreveu o pesquisador Kurt Baumgartner, da Kaspersky Lab, no blog da empresa.

Os pesquisadores estão compartilhando amostras da ameaça somente com empresas de segurança. "Isso poderia ser o caos", disse ele. "Eu acho que é melhor fazer menos alarde sobre isso por enquanto."

"Nós podemos confirmar que é uma nova vulnerabilidade", disse o analista sênior de ameaças online da empresa de antivírus Bitdefender, Bogdan Botezatu. "Nós reproduzimos o mecanismo de exploração no Java 7 Update 9 e Update 10. Outras versões talvez também estejam vulneráveis. Estamos atualmente analisando se outras versões antigas estão em risco." Até onde os testes da Bitdefender mostraram, o exploit é específico para o Java 7, disse Botezatu.

Pesquisadores da empresa de segurança AlienVault também confirmaram que o exploit funciona mesmo em uma instalação totalmente corrigida do Java 7. A ameaça utiliza truques similares para contornar as restrições de segurança do Java, da mesma forma que fazia um kit diferente de exploração do plug-in que foi utilizado por cibercriminosos em agosto de 2011, disse o gerente da AlienVaults Labs, Jaime Blasco em um blog.

O exploit já foi adicionado a kit de ferramentas populares como o Blackhole, bem como no Cool Kit Exploit, disse Botezatu. "Outros relatos mencionam que também foi adicionado ao Redkit [um conjunto de ferramentas de exploração diferente], mas não podemos confirmar a informação no momento."

Atualização ainda não prevista

Utilizando captura de pacotes para o tráfego associado ao novo exploit Java, os pesquisadores da Bitdefender foram capazes de rastrear alguns ataques em 7 de janeiro. No entanto, eles acreditam que os golpes provavelmente começaram no último dia 2 ou 3, segundo Botezatu.

O código de ataque 0-day identificado é outro exemplo de vulnerabilidades de segurança Java que decorrem da implementação insegura da API Reflection do Java", disse Adam Gowdiak, fundador da Secutiry Explotations - uma empresa de segurança polonesa especializada em pesquisa de vulnerabilidades do Java.

O vetor de exploração usado no novo ataque também é conhecido pela Oracle, juntamente com o código de prova de conceito adicional para a edição de agosto, completou o especialista.

A Oracle ainda precisa confirmar a vulnerabilidade ou divulgar planos para as correções. A próxima atualização crítica para o Java está programada para 19 de fevereiro. A empresa não tem comentários adicionais para fazer no momento, segundo informou um representante.

Quando confrontados com uma situação semelhante em agosto, a Oracle decidiu sair de seu ciclo trimestral de patches e liberou uma atualização de emergência. "Eu acho que a Oracle não irá liberar um patch fora de hora novamente, sem investigar minuciosamente toda a extensão dos danos e garantir a qualidade da correção", disse Botezatu.

"A última vez que fizeram isso, em agosto, a correção na verdade acabou abrindo portas para uma técnica de exploração similar em versões do Java que não estavam vulneráveis anteriormente.  Acredito que esta foi uma importante lição que pode atrasar o lançamento de uma correção."

Como se proteger

Os usuários devem desativar o plug-in do Java em seus navegadores o mais rápido possível e mantê-lo desativado até que um patch seja lançado, disse Botezatu. Aqueles que precisam de suporte Java no navegador em determinados sites devem permitir que o plug-in seja executado apenas nesses sites. Para fazer isso, basta desabilitar o Java nas propriedades de seu navegador, o que geralmente é feito no campo "Opções da Internet - Avançadas" do browser. 

Via: IDG Now

Atualização do Java permite limitar o uso em navegadores

Uma recente atualização para o Java 7 permite aos usuários impedir que aplicativos Java sejam executados nos navegadores ou restringir como o conteúdo é tratado pelo cliente Java Runtime Environment (JRE). Esses recursos irão beneficiar os usuários preocupados com a segurança, mas as empresas ainda terão que encontrar métodos de isolamento de versões mais antigas do Java, disseram alguns especialistas em segurança.

O Java 7 Update 10 (7u10), lançado em 11 de dezembro, não contempla quaisquer vulnerabilidades, mas oferece várias melhorias de segurança. 

De acordo com o comunicado do lançamento, a nova versão oferece aos usuários "a capacidade de desativar qualquer aplicativo Java executado no navegador." Isto pode ser feito por meio da aba "segurança" no painel de controle Java, desativando a caixa "Ativar conteúdo em Java no navegador".

Especialistas em segurança há tempos aconselham os usuários a remover o plug-in de seus navegadores, a fim de se protegerem dos ataques que, cada vez mais, exploram as vulnerabilidades do Java para infectar computadores com malware. No entanto, para seguir esses conselhos, os usuários tiveram que remover o Java de seus browsers - um por um - e eram obrigados a refazer o processo depois de instalar as atualizações da plataforma.

O Java 7u10 parece tornar as coisas mais fáceis, proporcionando aos usuários uma opção central para controlar conteúdo Java independente do número de navegadores que utilizam. 

O novo recurso permite aos usuários definir os níveis de segurança dos conteúdos - de baixo para elevado - com a opção "médio" sendo padrão. 

O nível de segurança médio permitirá que aplicativos em Java não assinados rodem normalmente, mas só se a versão do plug-in instalada for considerada segura. "Será solicitada autorização ao usuário, caso o app não assinado pedir para ser executado em uma versão antiga do Java", disse a Oracle nas notas técnicas das opções de segurança do novo painel de controle.

Se definido o nível de segurança como "elevado" , será solicita a permissão do usuário toda vez que um aplicativo Java, assinado ou não, tentar rodar no navegador. Se a versão do Java for considerada insegura, os aplicativos não assinados não serão executados independente do que o usuário decidir. "As configurações de segurança afetam applets em Java não assinados, aplicações Java Web Start, aplicações JavaFX incorporadas e o acesso ao kit de ferramentas nativo de implantação de plug-ins", disse a Oracle.

Além disso, o Java 7u10 introduz novos diálogos que avisam os usuários quando a versão do JRE instalada é insegura e precisa ser atualizada.

Essas mudanças não tornam o Java mais seguro em si, mas provavelmente facilitarão para os usuários tornar as máquinas mais seguras, porque permite que os usuários gerenciem algumas restrições, disse o diretor de segurança da empresa de pesquisa de gestão e vulnerabilidade Secunia, Thomas Kristensen, na terça-feira por e-mail. 

No entanto, com o intuito de a maioria dos usuários ficarem protegidos, a Oracle precisa definir as novas opções por padrão, porque a maioria dos usuários não vai entender ou saber sobre as novas restrições, disse.

Via: IDG Now

Java: Compilando pelo prompt

Hoje vou mostrar como compilar um programinha em java pelo prompt de comando do Windows. Pra quem não conhece ou não está familiarizado é essa tela abaixo.

Antes de usar o prompt devemos fazer algumas configurações primeiro .
Você deve ter instalado o SDK do Java que pode ser baixado aqui.

Após ter o SDK instalado você precisará anotar alguns caminhos, que servirão de variável para as configurações.
Você deve procurar o caminho onde instalou o java SDK.

Por padrão seria C:\Arquivos de programas\Java\

Procure a versão do sdk que foi instalada no meu caso foi o ‘jdk1.6.0_04‘ acesse esta pasta.

Copie em um bloco de notas o caminho até esta pasta
C:\Arquivos de programas\Java\jdk1.6.0_04\
dentro dela haverá outras, dentre elas, a pasta lib e a bin você deve anotar esses caminhos também.

Pastas Java (Clique na imagem para Ampliar)

Agora você deverá acessar seu painel de controle, clicar na opção Sistema, aba Avançado, botãoVariáveis de Ambiente.

Propriedades do Sistemas

Deverá abrir uma janela chamada Variáveis de ambiente na qual você deve clicar no botão Nova

Variáveis de Ambiente

Após isso abrirá esta janela:

Nova Variável de Usuário

Na opção 1 deverão ser  colocados os Nomes das Variáveis

E na opção 2 deverão ser  colocados os caminhos (valor da variável) que você anotou.

Os campos deverão ser preenchidos da seguintes maneiras:

Nome da variável: Java_Home

Valor da variável: C:\Arquivos de programas\Java\jdk1.6.0_04

Agora de um ok e clique em nova :

Nome da variável: ClassPath

Valor da variável: .;C:\Arquivos de programas\Java\jdk1.6.0_04\lib

Note que o valor da variável acima precisa do ponto e ponto e vírgula antes do caminho.
E por último:

Nome da variável: Path

Valor da variável: C:\Arquivos de programas\Java\jdk1.6.0_04\bin

Agora chega a parte da compilação.
Para realizar esta tarefa é preciso abrir o prompt.

No Iniciar > Executar digite  cmd e click em OK o prompt aparecerá na sua tela:

Prompt de Comando

Para inicio eu direcionarei para a pasta que está meu arquivo prog.java,  para isto usarei o comando  cd C:\@trabalhos\JAVA\richardikeda qual me jogará direto para lá:

Listarei os arquivos da pasta para ver o que tem lá usando o comando dir, e poderei ver o arquivo prog.java

arquivos java

Vamos compilar ele usando o comando javac prog.java é só esperar um pouco e arquivo programa compilado. Na mesma pasta onde esta o arquivo foi gerado outro chamado prog.class

arquivos java

Agora pra executar o programa basta digitar o comando java prog (sem o .java por motivos de leitura do windows) e o prog.class será executado:

executar arquivo

Agora é só brincar com os arquivos .java

Via: richardikeda.com

Falha na plataforma Java torna vulnerável 1 bilhão de computadores

Uma brecha de segurança do programa Java permite que pessoas mal-intencionadas instalem código malicioso, como vírus, em todos os computadores Mac e Windows em que o software está instalado --cerca de 1 bilhão de máquinas.

Têm a falha as versões Java 5, Java 6 e Java 7. Todas as versões do Windows estão sujeitas à brecha, assim como computadores com o sistema da Apple OS X 10.6 (Snow Leopard) ou mais novo.

A descoberta foi feita pela firma polonesa de antivírus Security Explorations e inicialmente divulgada pelo site "Computerworld" nesta terça (26).

A Oracle, dona do Java, disse à empresa de segurança que eliminará a falha em uma atualização ("update") futura, mas não disse a data. Segundo o "Computerworld", a próxima atualização trimestral do Java está marcada para o dia 16 de outubro.

Usuários do Java para celulares e tablets não estão expostos a esse erro.

Por meio da brecha seria possível a instalação de programas como vírus para o roubo de informações privadas, incluindo números de cartão de crédito.

O Java é uma plataforma utilizada para aplicações de segurança de bancos, por exemplo, funcionando como uma espécie de programa satélite do navegador. Também é empregado em jogos e outros tipos de interface (não confundir com a linguagem de desenvolvimento web Javascript).

Tornou-se propriedade da Oracle quando esta adquiriu a empresa que o fornecia, a Sun Microsystems, em 2009.

Via: Folhatec