Flashback: Apples innovativer Ansatz

Apple hat innerhalb der letzten Woche gleich drei Java-Updates veröffentlicht. Während in den ersten beiden Versionen lediglich aktuelle Sicherheitslücken behoben wurden, hat Apple der letzten Version ein Dienstprogramm eingebaut, welches den Trojaner Flashback entfernt. Zusätzlich wird Java deaktiviert, falls es nicht innerhalb der letzten 35 Tage benutzt wurde. Um Java-Applets einzusetzen muss der Anwender Java manuell wieder einschalten. Letztendlich werden damit Macs vor Attacken wie der jüngsten geschützt, die selten oder nie Java einsetzen.

Wolfgang Kandek, CTO von Qualys, beschreibt die neue Aktion von Apple zum Minimieren von Sicherheitslöchern für Trojaner in seinem Blog "Gesetze der Verwundbarkeit" mit Hochachtung. "Bisher hat meines Wissens nach noch kein Hersteller zu solchen Mitteln gegriffen.. Dabei macht es viel Sinn: Wir empfehlen schon lange, Java zu deinstallieren oder wenigstens zu deaktivieren, wenn der Anwender es nicht braucht. Gleichzeitig wissen wir aber nur zu gut, dass nur in wenigen Ausnahmen die Nutzer diesen Rat befolgen.", klagt Kandek.

Sicherheitsexperten für Computer und Netzwerke predigen seit Jahren, ungenutzte Software und Dienstprogramme zu deaktivieren, da sonst das System unnötigen Risiken für Exploits ausgesetzt ist. Anwender wiegen sich oft in der falschen Sicherheit, dass entdeckte Sicherheitslücken sie nicht betreffen können, da sie schließlich die Software nicht aktiv einsetzen. Als Folge davon wird dann meist dann ein behebendes Update ignoriert und die Sicherheitslücke bleibt offen.

Für Java hat Apple nun einfach die Initiative übernommen. Statt dem Anwender de Entscheidung zu überlassen übernimmt nun das Betriebssystem eine Kontrollfunktion und schaltet Java ab, falls es über einen Monat lang nicht gebraucht wurde. So während die Abhilfe von Apple für Flashback ziemlich spät kam, könnte die Aktion jedoch ein Vorbild für andere Software-Hersteller, automatisch angreifbare Einstellungen in ungenutzten Diensten zu korrigieren und mehr Sicherheit für den Kunden zu bieten.