2013年01月21日 08時00分 公開
特集/連載

Javaをアンインストールせずにセキュリティを高める方法危険でも使わざるを得ない企業のために

脆弱性が相次ぎ明るみに出るJava。根本的な対策はJavaのアンインストールだが、多くの業務システムがJavaに依存する現状では、難しい選択だ。他に有効な対策はないのだろうか?

[Nick Lewis,TechTarget]

 ここ数年、ハッカーの攻撃が変化しているのは周知の事実だ。企業のネットワークやプラットフォームへの侵入が非常に難しくなったことで、ハッカーたちはアプリケーションレイヤーという“攻撃しやすいターゲット”を狙うようになってきた。しかもそこには、“うま味”のあるターゲットがたくさん転がっているのだ。

 クライアントサイドの一般的なターゲットとしては、米Adobe Systemsの「Adobe Flash Player」「Adobe Reader」が挙げられる。だがハッカーにとって格好のアプリケーションレイヤーターゲットは、Java、特にJava Runtime Environment(JRE)ではないだろうか。

 米Sun MicrosystemsからJavaを引き継いだ米Oracleは、プログラミング言語、サーバサイド環境、広範に普及したクライアントサイドJREなど、さまざまな分野でJavaのエコシステムの拡大を進めてきた。だがハッカーらの攻撃で、JREの深刻な脆弱性が次々に明らかになってきた。こうした脆弱性の大半は、WindowsやMac OSなどの標準的なプラットフォーム向けのJREにある。ただし、Javaがクライアントソフトウェア用の広範なプラットフォームで利用されていることを考えれば、JREの脆弱性がもたらす深刻な影響が十分に理解されているとは言い難いのが現状だ。

 本稿では、Javaの脆弱性の最新状況について述べるとともに、エンタープライズ環境でJavaのセキュリティを強化する方法を紹介する。

一歩前進、一歩後退

 最近では、新たに明らかになったJavaの脆弱性を修正するパッチをOracleがリリースすると、ハッカーがすぐに新たな脆弱性を見つけ出すというイタチごっこが続いている。2012年9月にも、深刻な脆弱性が発見された。これは、JREの基本的なセキュリティ機能である「Type Safety」の弱点を突いて、Javaサンドボックスを回避するというものだ。この脆弱性を利用すれば、ハッカーはシステムのセキュリティを完全に無力化できる。

 さらに問題なのは、Javaのセキュリティパッチがハッカーに新たな攻撃の機会を与えている可能性があることだ。

ITmedia マーケティング新着記事

news155.jpg

2020年上期インターネット広告市場動向と下期業種別出稿動向予測――サイバー・コミュニケーションズ調査
国内のデジタルマーケティング業界の関係者を対象にした、新型コロナ禍におけるインター...

news162.jpg

「ダークソーシャル」はユーザーの行動にどれだけ影響するか――ホットリンク調べ
DM(ダイレクトメッセージ)をきっかけとする消費者行動の実態とは。

news155.jpg

東京五輪を「訪日観戦したい」 中国58.4%、米国21.0%――ブレインパッド調べ
東京五輪に関して世界の2大国で意識調査。米中ともに約半数が東京五輪の開催を希望してお...