甲骨文昨天發(fā)布了三個(gè)Java更新 。 重要的是要注意它們包含一些與安全性相關(guān)的更改。 一段時(shí)間以來(lái)，已經(jīng)宣布了其中的大多數(shù)更改，并且首先要注意的是Oracle按計(jì)劃交付。

甲骨文公司Java平臺(tái)安全經(jīng)理Milton Smith最近在DevoxxUK上做了題為“ 用Java保護(hù)未來(lái) ”的演講，他在其中解釋了Oracle產(chǎn)品中處理安全性的總體過(guò)程，并概述了Java CPU。 那些為期4個(gè)月的更新涵蓋了所有Java系列，并且據(jù)此，從昨天開(kāi)始，我們還看到了Java SE 6 Update 45和新的Java SE Embedded 7 Update 21，它們解決了有關(guān)這些Java系列的相同問(wèn)題。

（我是最終用戶）

發(fā)行說(shuō)明列出了一些新內(nèi)容。 它們中的大多數(shù)針對(duì)最終用戶，旨在提供更安全的Java運(yùn)行時(shí)。 從最重要的更改開(kāi)始，現(xiàn)在刪除了Java控制面板（JCP）的“安全滑塊”上的較低設(shè)置和自定義設(shè)置。 從根本上講，這意味著未簽名的小程序不會(huì)再運(yùn)行而不會(huì)發(fā)出警告。 此外，根據(jù)Java控制面板中設(shè)置的安全級(jí)別和用戶的JRE版本，可能完全不允許自簽名或未簽名的應(yīng)用程序運(yùn)行。 默認(rèn)設(shè)置為“高”允許除本地小程序以外的所有小程序都可以在安全的JRE上運(yùn)行。 如果用戶運(yùn)行的是不安全的JRE（<7），則僅允許運(yùn)行使用由公認(rèn)的證書頒發(fā)機(jī)構(gòu)頒發(fā)的證書簽名的應(yīng)用程序。

受信任并已簽名（來(lái)源：Oracle）

作為一個(gè)簡(jiǎn)短的指導(dǎo)原則，在（！）您已經(jīng)同意啟動(dòng)瀏覽器通常也會(huì)詢問(wèn)您的活動(dòng)內(nèi)容之后，最終用戶現(xiàn)在在瀏覽器中看到兩種不同的Java警告消息。 所有藍(lán)色和Java都是有效的有效內(nèi)容（將圖片與“可信任和已簽名”右側(cè)進(jìn)行比較）。 這種類型的應(yīng)用程序通常風(fēng)險(xiǎn)較低，但是Oracle建議您檢查應(yīng)用程序名稱，發(fā)布者名稱和位置是否對(duì)您正在訪問(wèn)的站點(diǎn)有意義（例如Java Detection，Oracle America，http：//www.java.com）。在java.com上）。 如果任何此信息與您不匹配或完全沒(méi)有意義，建議您單擊“取消”。

未簽名（來(lái)源：Oracle）

如果遇到未簽名或未正確簽名的應(yīng)用程序，則東西會(huì)開(kāi)始變成黃色和紅色（比較圖片“ Unsigned”）。 簡(jiǎn)而言之，您最有可能愿意修改有關(guān)執(zhí)行此類應(yīng)用程序的決定。 即使與自簽名應(yīng)用程序（沙盒與完全訪問(wèn)）相比，潛在的安全風(fēng)險(xiǎn)級(jí)別不同， 您也應(yīng)該取消并且不要運(yùn)行任何會(huì)為您生成黃色/紅色警告的應(yīng)用程序！ 如果您對(duì)完整的故事感興趣，可以深入了解有關(guān)“ Java安全提示 ”的更多信息。

除了這一非常顯著的變化，Oracle還引入了中央證書和jar黑名單存儲(chǔ)庫(kù)。 首次執(zhí)行Java applet或Web Start應(yīng)用程序時(shí)，每天在客戶端計(jì)算機(jī)上更新此數(shù)據(jù)。 通過(guò)此更改，您的JRE現(xiàn)在可以致電給家，并獲取有關(guān)可能存在的不良證書和第四方罐子的最新信息。 Oracle沒(méi)有透露有關(guān)其背后流程的任何信息，但我想，該機(jī)制將用于完全阻止大多數(shù)（全部）已知漏洞利用工具包。

您可以獲得大量的安全修復(fù)程序！ 有一個(gè)完整的列表可用，它稱為“ Oracle Java SE Risk Matrix ”。 此重要補(bǔ)丁更新包含針對(duì)Oracle Java SE的42個(gè)新的安全修復(fù)程序。 其中的39個(gè)漏洞無(wú)需身份驗(yàn)證即可遠(yuǎn)程利用，即，可以通過(guò)網(wǎng)絡(luò)利用這些漏洞而無(wú)需用戶名和密碼。 如果沒(méi)有提示您更新，則應(yīng)盡快執(zhí)行此操作。 從java.com下載適用于您系統(tǒng)的JRE，并保持最新?tīng)顟B(tài)！

（我是開(kāi)發(fā)人員）

如果您正在使用Applet，瀏覽器中的JavaFX應(yīng)用程序或Java WebStart應(yīng)用程序，則可能需要更改開(kāi)發(fā)過(guò)程以支持簽名的應(yīng)用程序。 通過(guò)引入的更改，最有可能的是最終用戶在自簽名或未簽名的情況下都無(wú)法運(yùn)行您的應(yīng)用程序。 有關(guān)如何執(zhí)行操作的詳細(xì)概述，請(qǐng)參閱Java教程中的簽署小程序指南 。

現(xiàn)在，我們有一個(gè)服務(wù)器JRE 。 如果您需要服務(wù)器上的JRE并且不希望運(yùn)行RIA，請(qǐng)下載Java SE Server JRE 。 此版本的Java SE Server JRE不包含Java插件或Java Web Start支持，將來(lái)的版本中可能會(huì)刪除其他工具。

還引入了一些行為更改。 默認(rèn)情況下，RMI屬性java.rmi.server.useCodebaseOnly設(shè)置為true。 這可能會(huì)導(dǎo)致基于RMI的應(yīng)用程序損壞。 請(qǐng)注意包含java.rmi.UnmarshalException的堆棧跟蹤，該java.rmi.UnmarshalException包含嵌套的java.lang.ClassNotFoundException。

在Windows平臺(tái)上，改進(jìn)了對(duì)指定給Runtime.exec（String），Runtime.exec（String，String []）和Runtime.exec（String，String []，File）方法的命令字符串的解碼，以符合規(guī)范更緊密。 對(duì)于使用這些方法中的一種或多種與程序名稱中包含空格的命令，或者使用未正確引用的命令調(diào)用這些方法的應(yīng)用程序，可能會(huì)導(dǎo)致問(wèn)題。

更多信息

開(kāi)發(fā)人員的官方文檔中有很多內(nèi)容。 最終用戶文檔的發(fā)展也非常Swift， java.com是一個(gè)很好的起點(diǎn)。 對(duì)于我的德語(yǔ)閱讀，您還可以在heise.de/developer上找到更詳細(xì)的報(bào)道。

參考： Java 7 Update 21從我們的JCG合作伙伴 Markus Eisele在Java企業(yè)軟件開(kāi)發(fā)博客上詳細(xì)進(jìn)行了安全改進(jìn) 。

翻譯自: https://www.javacodegeeks.com/2013/04/java-7-update-21-security-improvements-in-detail.html

總結(jié)

以上是生活随笔為你收集整理的Java 7 Update 21安全改进的详细信息的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。