La dernière fois que des hackers ont trouvé une faille dans le module pour navigateur de Java, la situation était si grave qu’elle a entraîné un avertissement de la part du département de la Sécurité intérieure américain. J’avais écrit à l’époque que vous deviez «sans doute désactiver Java sur votre navigateur tout de suite».
Si vous aviez lu ce billet et suivi mon conseil, alors vous aviez l’esprit tranquille ce week-end quand une nouvelle faille critique rendant vulnérable aux exploits 0 day a rendu des millions d’utilisateurs d’Internet potentiellement vulnérables à des attaques de programmes malveillants. Si vous ne l’aviez pas fait, voici une bonne occasion de le faire.
Les dernières failles de sécurité, qui ont été largement médiatisées la semaine dernière, ont à nouveau donné la possibilité aux cyber-escrocs d’utiliser les applications Java pour prendre le contrôle de votre ordinateur si vous visitiez un site Internet piraté. L’entreprise Oracle, qui a hérité de Java quand elle a racheté Sun Microsystems en 2010, a publié une mis à jour d’urgence dimanche 13 janvier qui tente de boucher les trous.
La mise à jour ne vous protège pas entièrement
On pourrait y voir une réponse prompte. Sauf que les spécialistes de la sécurité ont alerté l’entreprise du bug il y a environ un mois; que le patch laisse des faiblesses qui peuvent encore être exploitées par les criminels; et qu’il ne s’agit que du dernier d’une longue série de problèmes de Java qui ont fait de ce langage le premier choix pour les hackers qui utilisent des logiciels. Selon Reuters, l’entreprise de sécurité Kaspersky Lab estime que Java a été utilisé dans 50% de toutes les attaques dans lesquelles des hackers sont entrés dans des ordinateurs en exploitant des bugs de logiciel.
Si beaucoup de médias vous renvoient vers le site d’Oracle pour installer rapidement la mise à jour 11 de Java 7, il vous reste donc quand même une option bien meilleure. A moins que vous ne fassiez partie des rares utilisateurs d’Internet à utiliser un site web important qui nécessite Java, suivez le conseil d’experts en sécurité comme Adam Gowdiak de Security Explorations ou H.D. Moore de Rapid7 et désactivez-le dans votre navigateur.
Comme souligné plus haut, désactiver le module Java dans votre navigateur web ne nécessite pas de le désinstaller de votre ordinateur complètement, et cela ne vous protégera pas des logiciels basés sur Java en dehors de votre navigateur web.
Cela signifie simplement que vous verrez un message quand vous visiterez un des rares sites Internet qui utilisent toujours des microprogrammes Java. Et si vous trouvez que vous en avez vraiment besoin pour certains sites, vous pouvez toujours le désactiver dans votre navigateur principal mais le garder dans un navigateur secondaire que vous n’utilisez que pour ces sites.
Même Apple et Mozilla ont désactivé Java
Les instructions de base pour débrancher Java sont ci-dessous, et des guides plus détaillés sont disponibles ici et ici. Mais ne confondez pas Java et Javascript, qui n’a rien à voir et est essentiel au bon fonctionnement de nombreux sites Internet. Désactivez Java, mais gardez Javascript.
Si vous avez des questions supplémentaires, le blog de Krebs sur la Sécurité a une excellente FAQ ici (non, vous n’êtes pas forcément en sécurité si vous ne visitez pas de sites bizarres ou si vous utilisez Linux ou un Mac).
Et si vous trouvez que désactiver Java dans votre navigateur est une mesure trop extrême, pensez juste à ça: Apple et Mozilla ont tous deux répondu à la dernière faille en faisant exactement ça. Vous pouvez en faire de même. Et la prochaine fois que tout le monde panique à propos d’un piratage de Java, la seule décision que vous aurez à prendre est de savoir si vous allez hocher la tête de manière sympathique ou suffisante.
Pour désactiver Java:
- • Dans Firefox, sélectionnez «Outils» dans le menu principal, puis «Modules complémentaires», et appuyez sur le bouton «Désactiver» à côté de tout module Java.
- • Dans Safari, cliquez sur «Safari» dans le menu principal, puis «Préférences», puis sélectionnez l’onglet «Sécurité» et décochez le bouton à côté de «Activer Java».
- • Dans Chrome, tapez ou copiez «Chrome://Plugins» dans la barre d’adresse de votre navigateur, puis cliquez sur le bouton «désactiver» pour tout module Java.
- • Dans Internet Explorer, suivez ces instructions pour désactiver Java dans tous vos navigateurs via le panneau de configuration. Il n’y a pas de moyen de désactiver Java uniquement sur IE.
Will Oremus
Traduit par Grégoire Fleurot
