Newsgroup: it.comp.sicurezza.varie
Titolo: Java e compagnia

Ciao raga,
qualcuno mi puo' chiarire il rapporto fra Java e sicurezza ? Cos'e' che si puo' lasciare
attivo, di tutta la famiglia Javiana,  su Netscape, e su Explorer, per essere
ragionevolmente sicuri di non farsi inchiappettare?
Che differenza c'e', ad esempio,  fra applet Java e Java script?
Vediamo se stavolta riesco a capirci qualcosa! ;-)))
A propo': grazie!
--
Piero "Eydenet"
"Non lasciatevi prendere dal panico"
eyd...@bl.freemail.it
REMOVE < bl.> TO REPLY


ICQ #34602650

 Che differenza c'e', ad esempio,  fra applet Java e Java script?
Applet Java e' un programma Java che viene eseguito all'interno del browser,
incorporato in una pagina HTML. Il sorgente della pagina contiene un tag
speciale che i browser con supporto Java riconoscono e fa si' che venda
scaricato il codige oggetto dell'applet ed eseguito in locale. A meno di bug,
un'applet viene eseguito in una "sandbox" (in gergo javiano), che e' un
ambiente schermato da quello della macchina, e puo' fare solo un numero
limitato di cose. A meno di bug, come ho detto, e di macchine virtuali Java
implementate da zappatori. Diversamente, un'applicazione Java e' un programma
vero e proprio, che puo' essere eseguito "stand-alone", ovviamente su un
computer con installato il supporto run-time di Java.
Javascript e' invece un linguaggio di script incorporato in Netscape, che ha
un corrispettivo nel Jscript di IE (correggetemi se dico cazzate), ed e' molto
semplice, privo di tipi e interpretato. Puo' fare pochissime cose, e
tipicamente e' usato per costruire pagine HTML parzialmente dinamiche (per
esempio, quelle che ti fanno vedere data e ora, oppure che browser usi) e per
un'interattivita' molto limitata (form e roba del genere). Con Java ha in
comune solo parte della sintassi e il nome, scelto da Netscape quando Sun non
aveva ancora registrato "Java".
Ciao, Max.
-- 
Emma for Europe: 
http://www.emmaforeurope.it/
--ICQ: 14816698---Campagna NOTUT: 
http://www.notut.cjb.net-----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

all'interno del browser. 
Quindi, in teoria, uno script non e' un  "eseguibile" che potrebbe  contenere codici a
rischio? Invece l'applet e' un "programmino" che potrebbe essere anche cattivello?
Grazie di nuovo per l'eventuale precisazione :-)


Quindi, in teoria, uno script non e' un  "eseguibile" che potrebbe  contenere codici a
Io non sarei cosi' ottimista, ho visto cose particolarmente
subdole nel linguaggio HTML. Dicesi "vbscript", ma siccome
di queste cose non ci capisco una mazza, aspetto speranzoso
con te' delucidazioni in merito. :-))
Ciao.

subdole nel linguaggio HTML. Dicesi "vbscript", ma siccome
Vbscript (Activex) e' un'atomica in mano al solito scienziato pazzo.
AppletJava e Javascript, se implementati come dio comanda, non sono troppo
pericolosi, entrambi vivono in un ambiente ben delimitato.
Purtroppo,c'e' quel *se* prima di implementati, che mi lascia un certo
timore.
Ciao.roberto
--
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

rischio?
tutto e sempre in teoria. Poi c'e' da considerare che i browser li
fanno bug inside. Con una frequenza impressionante ed implacabile
compaiono nuovi bug contro internet explorer e netscape.
Il solito workaround e' "disable java script".
Prendo solo l'ultima mail arrivata su bugtraq e ti mostro cosa possono
fare sfruttando questi bug:
************************
Vulnerabilities:
 * Reading user's cache and accessing information such as passwords,
credit card
  numbers.
 * Reading info about the Netscape's configuration ("about:config").
This includes
  finding user's email address, mail servers, the encoded mail
password
  (it must me saved and may be decoded). This allows reading user's
email.
**********************
Inoltre, navigando un po', trovi delle pagine con le dimostrazioni di
questi script cattivi.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

fare sfruttando questi bug:
Insomma, in parole povere, tutta la famiglia Java e' meglio disattivarla di default e
tirarne fuori il parente giusto solo quando e' richiesto.. ;-)


 rischio? Invece l'applet e' un "programmino" che potrebbe essere anche cattivello?
In "teoria" entrambi sono innoqui perchè girano all'interno di ambienti
isolati (l'interprete del browser per javascript, la jvm del browser per
gli applet). 
In pratica avviene che i browser nell'implementare questi ambienti
"virtuali" li riempiono di bug. Questo significa che spesso e volentieri
introducono dei buchi, dei passaggi più o meno segreti, nei quali è
possibile passare (e non solo attraverso l'applet o lo script).


tirarne fuori il parente giusto solo quando e' richiesto.. ;-)
dipende da quanto sei "paranoico".
Java lo tengo disattivato senza pensarci un attimo, per quanto
riguarda i javascript, dipende da che browser usi e da che siti
visiti.
Una visitina agli archivi di bugtraq ti chiarisce i termini della
questione.
