ทำไมปลั๊กอิน Java (JRE) ถูกปิดการใช้งานใน Chrome

ทำไมปลั๊กอิน Java (JRE) ถูกปิดการใช้งานใน Chrome มันเป็นความกังวลด้านความปลอดภัยหรือไม่?

จากเว็บไซต์ Java อย่างเป็นทางการ:

Chrome ไม่สนับสนุน NPAPI (เทคโนโลยีที่จำเป็นสำหรับ Java applets) ปลั๊กอิน Java สำหรับเว็บเบราว์เซอร์อาศัยสถาปัตยกรรมปลั๊กอินข้ามแพลตฟอร์ม NPAPI ซึ่งได้รับการสนับสนุนจากเว็บเบราว์เซอร์หลักทั้งหมดมานานกว่าทศวรรษ Chrome รุ่น 45 ของ Google (มีกำหนดวางจำหน่ายในเดือนกันยายน 2558) ลดการสนับสนุน NPAPI ส่งผลกระทบต่อปลั๊กอินสำหรับ Silverlight, Java, Facebook Video และปลั๊กอินอื่น ๆ ที่คล้ายกันของ NPAPI

แต่ใครจะรู้ว่าทำไม อาจเป็นอันตรายสำหรับผู้ใช้ Chrome ที่ติดตั้ง Java JRE เวอร์ชันล่าสุดได้อย่างไร

ทำไม Java ถูกปิดการใช้งานใน Chrome มันเป็นความกังวลด้านความปลอดภัยหรือไม่?

สาเหตุที่ทำให้การปิดใช้งาน NPAPI และ Java รวมถึงสิ่งต่อไปนี้ตาม Chromium Blog:

• ความปลอดภัยที่เพิ่มขึ้น
• ความเร็วที่เพิ่มขึ้น
• เสถียรภาพเพิ่มขึ้น
• ลดความซับซ้อนของรหัส
• ลดการล่ม
• ลดการค้าง
• ขาดการสนับสนุนอุปกรณ์มือถือ

บันทึก:

• Firefox กำลังลดการสนับสนุนสำหรับ NPAPI - ดูปลั๊กอิน NPAPI ใน Firefox :

  ปลั๊กอินเป็นแหล่งที่มาของปัญหาประสิทธิภาพข้อขัดข้องและเหตุการณ์ด้านความปลอดภัยสำหรับผู้ใช้เว็บ

  Mozilla ตั้งใจที่จะยกเลิกการสนับสนุนปลั๊กอิน NPAPI ส่วนใหญ่ใน Firefox ภายในสิ้นปี 2559

อาจเป็นอันตรายสำหรับผู้ใช้ Chrome ที่ติดตั้ง Java JRE เวอร์ชันล่าสุดอย่างไร

คำตอบสั้น ๆ : Zero Day Exploits

แหล่งที่มาของช่องโหว่อื่นคือข้อเท็จจริงที่ว่า Java ไม่ได้ปล่อยตัวอัปเดตอัตโนมัติที่ไม่ต้องการการแทรกแซงจากผู้ใช้และสิทธิ์ของผู้ดูแลระบบ ตัวอย่างเช่น Google Chrome และ Flash Player มี คุณลักษณะนี้ช่วยให้ผู้ใช้รับการอัปเดตอัตโนมัติโดยไม่ต้องแจ้งให้ดำเนินการทำให้การปรับปรุงง่ายขึ้น

เนื่องจากขาดระบบอัปเดตอัตโนมัติผู้ใช้หลายคนไม่สนใจการอัปเดต Java และกลัวที่จะติดตั้งเพราะมัลแวร์ที่ใช้การอัปเดต Java เป็นเวกเตอร์ติดเชื้อในอดีตหรือประสบการณ์ที่คล้ายกัน

เพิ่งรู้ว่าช่องโหว่เหล่านี้คือสิ่งที่อาชญากรไซเบอร์ประสบความสำเร็จ

...

ข้อมูลที่สกัดจากฐานข้อมูลของเรายืนยันว่า Java เป็นช่องโหว่ด้านความปลอดภัยที่ใหญ่เป็นอันดับสองที่ต้องการการแก้ไขอย่างต่อเนื่องหลังจากปลั๊กอิน Flash ของ Adobe

ในปี 2558 เพียงอย่างเดียวเราได้ปรับใช้โปรแกรมแก้ไข 105925 สำหรับ Java Runtime Environment สำหรับลูกค้าของเรา

อ่านบทความที่เหลือสำหรับคำอธิบายและคำอธิบายโดยละเอียด

ที่มาทำไมช่องโหว่ของ Java จึงเป็นช่องโหว่ความปลอดภัยที่ใหญ่ที่สุดบนคอมพิวเตอร์ของคุณ

การนับถอยหลังครั้งสุดท้ายสำหรับ NPAPI

เมื่อเดือนกันยายนที่ผ่านมาเราได้ประกาศแผนของเราที่จะลบการสนับสนุน NPAPI จาก Chrome การเปลี่ยนแปลงที่จะปรับปรุงความปลอดภัยความเร็วและเสถียรภาพของ Chrome รวมถึงลดความซับซ้อนในฐานรหัส

แหล่งที่มาการนับถอยหลังครั้งสุดท้ายสำหรับ NPAPI

บอกลาเพื่อนเก่าของเรา NPAPI

สถาปัตยกรรมยุค 90 ของ NPAPI ได้กลายเป็นสาเหตุสำคัญของการแฮงค์ล่มเหตุการณ์การรักษาความปลอดภัยและความซับซ้อนของรหัส ด้วยเหตุนี้ Chrome จึงยุติการสนับสนุน NPAPI ในปีที่จะมาถึง เรารู้สึกว่าเว็บพร้อมสำหรับการเปลี่ยนแปลงนี้ อุปกรณ์มือถือไม่รองรับ NPAPI และ Mozilla วางแผนที่จะทำปลั๊กอินทั้งหมดยกเว้น Flash click-to-play เวอร์ชันปัจจุบันโดยค่าเริ่มต้น

ที่มาบอกลาเพื่อนเก่าของเรา NPAPI

ตามที่อธิบายโดย Googleจำเป็นต้องใช้ Netscape Plug-in API (NPAPI) ในช่วงแรก ๆ ของเว็บเบราว์เซอร์เพื่อขยายคุณสมบัติของพวกเขา น่าเสียดายที่มันให้การเข้าถึงเครื่องพื้นฐาน ดังนั้นหากปลั๊กอินมีช่องโหว่และผู้โจมตีใช้ประโยชน์จากมันผู้โจมตีจะข้ามแซนด์บ็อกซ์ของเบราว์เซอร์และเข้าถึงเครื่องได้

การโจมตีเวกเตอร์ดังกล่าวมีการใช้กันอย่างแพร่หลายในอดีตเพื่อแพร่กระจายเครื่องจักรทำให้คำแนะนำว่าคุณควรปิดการใช้งานจาวาบนเบราว์เซอร์ของคุณ คุณลักษณะหลายอย่างที่ปลั๊กอิน Java มีให้ในตัวเบราว์เซอร์ (เช่น HTML5) ที่มีประสิทธิภาพและความปลอดภัยที่ดีขึ้นหรือมีส่วนขยายที่ทำงานในแซนด์บ็อกซ์ (เช่นNaCL ) นั่นเป็นสาเหตุที่ทำให้การตัดสินใจไม่สนับสนุนปลั๊กอิน Java อีกต่อไป: มีความเสี่ยงสูง แต่ไม่จำเป็นต้องใช้มัน

เป็นเวลานานที่มีการย้ายจาก Java พร้อมกับปลั๊กอินอื่น ๆ เช่น Flash หรือ Silverlight บนเว็บ หนึ่งในเป้าหมายของ HTML5 คือการสร้างเฟรมเวิร์กที่ไม่จำเป็นต้องใช้ปลั๊กอิน (ดังนั้นแท็กเช่น<audio>และ<video>) ตอนนี้เหตุผลเดียวที่สนับสนุน Java คือความเข้ากันได้กับระบบเดิมที่ควรจะถูกยกเลิกในตอนนี้

เหตุใดปลั๊กอินเช่น Java จึงเป็นภัยคุกคามความปลอดภัย เนื่องจากประวัติศาสตร์ได้พิสูจน์แล้วว่าจะมีช่องโหว่ด้านความปลอดภัยอยู่ตลอดเวลาทำให้มีช่องโหว่มากมาย มันเป็นการยากที่จะรักษาความปลอดภัยให้กับ VM ที่ใช้ Java bytecode เป็นการยากกว่าการแซนด์บ็อกซ์ภาษาสคริปต์ที่ตีความเช่น JavaScript เพียงแค่มีลักษณะที่สถิติเหล่านี้

อย่างที่คุณพูดมันเป็นวิธีปฏิบัติที่ดีในการอัปเดตปลั๊กอินของคุณ แต่นั่นยังไม่เพียงพอ ครั้งแรกผู้คนจำนวนมากทำไม่ได้ มีการเปิดเผยเมื่อเร็ว ๆ นี้ว่าแม้แต่ NSA ที่เทียบเท่าของสวีเดนยังใช้ปลั๊กอิน Java ที่ล้าสมัยซึ่งมีช่องโหว่ด้านความปลอดภัยที่รู้จัก หากพวกเขาไม่สามารถทำได้ถูกต้องคุณคาดหวังว่าผู้ใช้ตามบ้านโดยเฉลี่ยจะทำเช่นนั้น? ประการที่สองไม่มีทางที่คุณสามารถป้องกันตนเองจากศูนย์ได้ ไม่ว่า Oracle จะผลิตแพทช์รวดเร็วแค่ไหนคุณก็จะตกอยู่ในความเสี่ยง

แม้แต่ Oracle ก็ยอมรับว่ายุคของ Java applets นั้นจบลงแล้ว จากArs Technica (ม.ค. 2559):

ปลั๊กอินของเบราว์เซอร์ Java ที่มีรูปแบบไม่ถูกต้องซึ่งเป็นแหล่งที่มาของข้อบกพร่องด้านความปลอดภัยจำนวนมากในช่วงหลายปีที่ผ่านมานั้น Oracle จะถูกสังหาร มันจะไม่โศกเศร้า

Oracle ซึ่งซื้อ Java เป็นส่วนหนึ่งของการซื้อ Sun Microsystems ในปี 2010 ได้ประกาศว่าปลั๊กอินดังกล่าวจะถูกเลิกใช้ใน Java รุ่นถัดไปซึ่งมีวางจำหน่ายในรุ่นเบต้าก่อนหน้านี้ การเปิดตัวในอนาคตจะลบออกทั้งหมด