Wer in seinem Browser das Java-Plugin für Applets oder Web-Start aktiviert hat, sollte immer umgehend das aktuelle Update einspielen. Darauf weist der Interessenverbund der Java User Groups e.V. (iJUG) hin, da immer wieder Sicherheitsprobleme im Zusammenhang mit Java-Applets auftreten können.
Oracle hat bereits viele Updates für Java herausgebracht, um neu auftretende Sicherheitsprobleme zu beheben. Dieser Prozess läuft auch mit den sogenannten „Critical Patch Updates (CPU)“ permanent weiter. Deswegen ist es wichtig, dass Endanwender und Unternehmen immer möglichst zeitnah auf die jeweils aktuelle Version von Java umsteigen. Windows-Nutzern wird nachdrücklich empfohlen, das Java-Auto-Update zu aktivieren.
Mit den Updates hat Oracle das Sicherheitsmodell (auch als „Sandbox“ bekannt) weiterentwickelt. Applets müssen jetzt zum einen etwas mehr Auskunft über die Berechtigungen geben, die sie benötigen, und zum anderen müssen sie zwingend signiert sein. Signieren bedeutet, dass man sich von einer öffentlichen Institution (Certificate Authority, CA) ein Zertifikat über seine Identität als Person oder Unternehmen ausstellen lässt. Damit wird dann das Applet signiert. Man sichert also über diesen technischen Prozess zu, dass das Programm im Applet auch von der Identität stammt, die es unterschrieben (signiert) hat. So können unbekannte Dritte keine Applets verbreiten, die Schaden anrichten. Wird ein schädliches Applet entdeckt, lässt sich über die Signatur und die CA zurückverfolgen, wer der Urheber war.
Aus diesem Grund sind alle Softwarehersteller, die Applets einsetzen, in der Pflicht, in Ihren Produkten Applets an die neuen Standards anzupassen und diese zu signieren. Führen sie diese Aktualisierung ihrer Software nicht zeitnah durch, müssen vor allem Anwender im Unternehmensumfeld mit Problemen bei der Ausführung von Applets rechnen.
Im heutigen Einsatz von Applets gibt es zwei Modi, in denen diese vorkommen. Der Erste ist ein Ablauf in einer sogenannten „Sandbox“. Hier bestehen keine Zugriffsrechte auf den Rechner. Diese Einsatzart ist zum Beispiel für komplexere interaktive Programme sinnvoll, die jedoch keinen Zugriff auf andere Teile des Systems brauchen, wie eine kleine physikalische Simulation, in die man selbst eingreifen kann.
In der zweiten Einsatzart erhält das Applet bestimmte Zugriffsrechte auf das System. Hier wird die Sandbox durch Nachfrage beim Benutzer bewusst deaktiviert. Dann kann ein Applet zum Beispiel auf dem Drucker ausdrucken, Dateien auf dem Rechner finden und hochladen, sich mit einem anderen Gerät im Netzwerk wie einem Chip-Karten-Lesegerät oder Leser für den Personalausweis verbinden und Daten austauschen. Auf diese Weise lassen sich Geräte und Programme viel flexibler in eine Web-Anwendung integrieren, als das normalerweise über den Browser und HTML möglich ist.
Dieses Konzept macht Java zu einer sicheren Technologie. Dennoch tauchen bei der Implementierung der JVM gelegentlich Fehler auf, die zu Sicherheitslücken führen können, wenn bestimmte Java-Applets unerlaubt auf lokale Dateien zugreifen.
Tobias Frech, stellv. Vorstandsvorsitzender des Interessenverbund der Java User Groups e.V. (iJUG) fasst zusammen: „Mit dem aktuellsten Update ist man auf der sicheren Seite. Vor einem unternehmensweiten Einsatz sind dennoch die Auswirkungen der nochmals verschärften Sicherheitseinstellungen zu prüfen. Hier können die neuen Funktionen „Deployment Rule Set“ und „Exception Site List“ hilfreich sein, um Ausnahmen festzulegen, die nicht nach den neuen Regeln blockiert sind.“
