Hvorfor Java..?

[AJenbo]

Ja, men så høre jeg det også bare som Java er open source, undtagen de dele der ikke er. Er det ikke noget med at den JavaVM der er open source ikke er den samme som den der var i tidligere tider? Måske skifter MS også over til at bruge Mono som basis for .Net i fremtiden

Der er allerede mange store programmer, projekter of firmaer der gør brug af Mono, selv på Windows. Monos største mangel er omkring WPF, men er der ud over faktisk ganske god med og flere spil er også blevet portet fra Windows til Mac og Linux ved hjælp af Mono.

[zob]

Jeg synes efterhånden vi bliver ret ivrige efter af finde en eller anden obskur afkrog af Java der kan slå benene væk under hele projektet. Det er vel ikke det helt store problem når nu projektet netop er open source og forsøger at gøre sig fra af de biblioteker (hvis de ikke allerede har gjort det). Det var altså ikke ret meget. Ved du om der er noget tilbage af betydning?

Så synes jeg da egentlig at binary blobs i ubuntu kunne være mere bekymrende fordi vi ikke er kommet af med dem og det ikke rigtig er muligt at løse problemet uden tredjepart (hardware producenter). Men igen. Jeg er pragmatiker, ikke idealist. Jeg bruger open source fordi det er smart ikke fordi jeg synes det er det eneste rigtige. Så jeg ligger ikke søvnløs over det.

Som sagt er jeg kun glad for at C# arbejder på sagen. Det tager jo ikke noget fra Java. Jeg har efterhånden svært ved at gennemskue hvad det er der bliver ved at nage dig. Hvis dit projekt er blevet at sige at Microsofts C# er fedt, så er vi jo enige. Og jeg kan såmænd også godt leve med at det er mindre open source end Java, det er bare knap så praktisk.

Er det eneste der ikke er open source måske bare java web start? Ud over det, lad mig bare udtrykke det lidt mere bombastisk (jeg synes diskussionen er trukket lidt i langdrag), er der ikke flere lukkede komponenter i java: http://en.wikipedia.org/wiki/Openjdk
Openjdk er reference implementationen. I øvrigt var det jo bare den web plugin vi fra starten af var enige om vi gerne ville af med. Og man skal jo altså kun bruge den til noget hvis man gerne vil skrive de der irriterende applets.

[AJenbo]

Det er ikke for de jeg vil vælte java. Jeg syndes bar ikke det er noget at råbe hura for, så når de selv gør det på et grundlag jeg ikke helt er enig i kigger jeg lidt skævt til det. Det er er heller ikke fordi jeg er .Net-fan, men nu var den rekame video jo direkte rettet mod det. Jeg er nok i det hele taget ikke så meget for sprog der skal compiles til noget der ikke er maskinkode.

[Jakob77]

Jeg er nok i det hele taget ikke så meget for sprog der skal compiles til noget der ikke er maskinkode.

Det er nok fordi du ligesom jeg ved for lidt om kryptering.

Men når vi ser på den mest alvorlige del af de argumenter, som fremkommer for at udskifte ældre computere med nye, er det så ikke netop krypteringsspørgsmålet, der bliver vanskeligst at feje af banen..?

Jeg har hørt noget om, at nets forlanger nye computere til ca 30% af landets brugere, hvis de fortsat skal kunne benytte netbank og andre fortrolige forbindelser.
Har det noget på sig, tror du..?

Jeg fornemmer, at det har ( selvom jeg tvivler stærkt på nødvendigheden ), og jeg tror ikke, at jeg vil være med til det usmagelige hardwarekapløb, men i stedet vil finde det mere rigtigt at søge om at blive fri for pligten til at opretholde en digital forbindelse til det offentlige.
Det må nok være lidt mere modent end blot at hade Java, så jeg har nu flyttet mit kryds.

[AJenbo]

Det er nok fordi du ligesom jeg ved for lidt om kryptering.

Æh.. nej. At det er compile til bytekode har ikke rigtig noget med kryptering at gøre og kryptering er heller ikke det samme som sikkerhed.

Men når vi ser på den mest alvorlige del af de argumenter, som fremkommer for at udskifte ældre computere med nye, er det så ikke netop krypteringsspørgsmålet, der bliver vanskeligst at feje af banen..?

Det er en del af det men ikke hele historien. Både brugere og udviklere stille generelt højere krav til hvad en maskine skal kunne inden for en givent tid og det hele er en selvforstærkende cyklus.

Jeg har hørt noget om, at nets forlanger nye computere til ca 30% af landets brugere, hvis de fortsat skal kunne benytte netbank og andre fortrolige forbindelser.

Jeg kender kun til deres krav om seneste Java, hvilket udelukker ca. 40% af brugerne. Ud af dem udgøre Windows XP 5% og mobil enheder 34%, de resterende er dårligt vær at nævne.

[Jakob77]

kryptering er heller ikke det samme som sikkerhed.

Nej, det vil være langt bedre at holde sin computer isoleret fra internettet.
Men skråsikkert vil jeg påstå ( ret mig, hvis jeg tager fejl ), at er man først ude på en linje, hvor signaler kan kopieres, så er det kun kryptering, der kan beskytte signalets indhold.
Man kan kode Java og andet og variere tidspunktet for afsendelse af pakker, og man kan jamme ( jamming gøres måske for lidt i dag..? Det kræver ikke meget computerkraft. ), men lidt groft skåret kan det hele betegnes som kryptering, der kan afkodes, hvis man blot finder nøglen til det.
Er nøglen meget kompliceret, så tager den lang tid at gætte selv med en super stærk computer, men til gengæld skal der også anvendes en nogenlunde stærk computer bare for at kunne bruge nøglen, og dermed er der endnu en undskyldning for det usmagelige hardwarekapløb.
I øvrigt lidt sjovt måske, så skråsikre politikerne var på, at der ikke kunne ske noget ved at sælge nets. Det var jo ikke infrastruktur. Men allerede få uger efter salget, så bliver masser af computere dømt ude, fordi de er for gammeldags for nets.
Det minder vel om at have solgt vejnettet til en køber, som få uger senere forbyder alle langsomme biler at køre til byen.

[Jakob77]

Der kom engang en gut ind i forum og talte for noget java og om åben og fri software så inderligt, at jeg blev meget betaget og installerede det og kørte med det lykkeligt i flere uger, selvom jeg ikke kunne bruge det til andet end at prale med, at jeg havde installeret helt åben og fri software.
Så vidt jeg husker hed det noget med icetea...






Men når man skal se på java navnets muligt manglende popularitet, så er det måske ikke kun et kodeproblem, men også den måde, som formularer udformes på og stiller suggestive spørgsmål osv., som programmørene kun har meget ringe indflydelse på.

Se f.eks. på denne formular, som man skal udfylde, hvis man vil skrive elektronisk til DR:
http://www.dr.dk/Om_DR/Kontakt+DR/20130502132613.htm

DR-kontaktformular-B.jpg (98.23 KiB) Vist 428 gange

Jeg ved ikke, hvor meget det har med java at gøre, men navnet er involveret, og jeg forstår for det første ikke, at man kan finde på at bede om et personnummer i den sammenhæng.
http://www.klimadebat.dk/forum/digital-forbindelse-eller-faengsel--d32-e2655.php#post_42437
For det andet får jeg en fornemmelse af, at enhver kan kontrollere et personnummer.
Man kan forhåbentlig ikke stampe det, men det må være et lærliggende spørgsmål at stille.
Jeg kunne godt tænke mig at høre nogle javafolks mening om hypotetisk at blive sat til at programmere sådan en formular med krav om personnummeroplysning og håndtering af det for at kunne begrænse, hvem der kan komme igennem med en forespørgsel til firmaet.
Lidt, om man som programmør tænker og bør tænke i etiske baner.

[Ivan]

Det har overhovedet intet med java at gøre.

[AJenbo]

I bedste fald tror jeg du forveksler Java med JavaScript, som kan bruges til at gøre en side interaktiv. De 2 har intet med hin anden at gøre. I værste fald tror du Java har noget med sikkerhed at gøre.

Bemærk i stedet at den side du er på ikke er krypteret (ingen https og ingen hængelås) hvilket vil sige at du nok ville skulle sende dit person nummer på en forbindelse hvor det kan blive aflyttet. Den får også en ekstra advarsels trekant da deres programmør blandet krypteret og ikke-krypteret indhold på samme side.

Årsagen til at de opkræver det ser ud til at være at de skal bruge det når emnet handler om Husstandslicens.

Der udover anvender de noget statestik scripts, et fra Google og et fra et Polsk firma: http://www.gemius.pl/ Disse ville teknisk set kunne aflytte det du gør på siden, altså eks. opsnappe dit person nummer.

Kigger man lidt nærmere på hvordan siden er opbygget finder man at der faktisk er en krypteret side indkapslet i den usikre. https://www.dr.dk/lsk_frontend/index.aspx
Bruger man dette link i stedet kan man se at siden faktisk er krypteret, dog er begge statestik scripts stadig aktive her.
Desuden har DR's programør også formået at inkludere et af deres egne scripts uden kryptering, så hvis ikke ens browser blokere det (det er der for du får et skjold i Firefox) ville det kunne anvendes til at spionere på siden via et MITM-angreb. Så det må siges at DR håndtering af person nummer er lidt lemfældig.

Hade DR i øvrigt lavet denne formular som et signeret Java Applet ville de også have fået fuld adgang til alle dine dokumenter på maskinen, så på den måde er Java nærmest det modsatte af sikkerhed. Det at du har installeret det uden at have et formål med det gør også blot at der er endnu en måde en hacker kan ramme din maskine på, hvilket Java har været udnyttet til i flere af de støre angreb.

Dit person nummer indikere i øvrigt at du er en kvinde der ikke vil stå ved sit køn, da sidste nummer skulle være 6 for at det var teknisk gyldigt, men DR tjekker også i et cpr-register om personen virkelig eksistere. Første tjek kunne let laves i JavaScript, men det efterfølgende opslag i registeret bør forgå på serveren, da det nok ikke er en god ide at sende en liste af alle CPR-nummere til enhver der kunne tænke sig at kontakte DR.

[AJenbo]

Jeg kan så lige tilføje at DR's server er såbar over for en sikkerhedsfejl (CVE-2014-0224) hvilket betyder at en hacker stadig ville kunne aflytte forbindelsen selv om den er krypteret. De kunne løse problemet ved at opdatere softwaren på deres server. Så igen stort - til DR.

Sikkerheden hos Google som den skal være, de kunne dog godt gøre lidt for at undgå ssl-strip angreb.

Det Polske firma har også nogenlunde styr på sikkerheden, de bruger dog ikke en særlig stærk kryptering.

[AJenbo]

Kære Anders Jenbo

Tak for din mail som DR Programservice d.d. har videresendt til den relevante redaktion, der vil svare dig direkte.
Du vil modtage svar hurtigst muligt.


Venlig hilsen

Birte *Efternavn*
DR Program- og Teknikservice

Fra: klager@dr.dk [mailto:klager@dr.dk]
Sendt: 22. august 2014 01:55
Til: Klager [FÆLLESPOSTKASSE]
Emne: Klage sendt fra OMDR klageformular

Kære Anders Jenbo

Vi har modtaget din henvendelse vedrørende og vil sørge for, at det når den rette medarbejder i DR. Din henvendelse er følgende:

Jeres HTTPS-server (den der udbyder denne formular) er sårbar over for CVE-2014-0224. I bør opdatere jeres software. Der udover er jeres programør kommet til at inkludere et af scriptsne fra http siden, hvilket giver udslag omkring sikkerhedsproblemer i dvs. browsere. Til sidst syndes jeg ikke hensigtsmæsigt at i køre med statestik scripts på en side hvor det kan være nødvendigt for brugeren at angive sit CPR-nummer. Samtidig er det heller ikke heldigt at brugeren ikke kan se at det er en sikker side pga. formularen er inkluderet i en iframe på en http-adresse side.

Du har oplyst følgende personlige oplysninger:
*navn* ,
*adresse*,
*postnr.*,
*email*

Venlig hilsen DR Licens- og Programservice

Med andre ord kan du skrive direkte til klager@dr.dk hvis du har en klage. Yderligere adresser kan findes under kontakt:
http://www.dr.dk/hjaelp/kontakt.htm

[Jakob77]

.




@Ivan


Prøv at højreklikke på siden og vælg "vis sidens kildekoder" og søg på "Java".





@Ajenbo

Mange tak for mailadresser, og fordi du følger op på sagen.
( noget af mailen er nu citeret i tråden på klimadebat )

I bedste fald tror jeg du forveksler Java med JavaScript, som kan bruges til at gøre en side interaktiv. De 2 har intet med hin anden at gøre. I værste fald tror du Java har noget med sikkerhed at gøre.

Det er nok endnu værre, for det er nærmere alle tre ting.

Jeg så bare i et glimt, at browseren skrev Java nede i venstre hjørne.

Men måske kan man sige, at Java web plugin og javascript har den lighed, at de ofte begge optræder, når der skal skabes fortrolige forbindelser, hvor brugerne skal læse og svare på vigtige ting.

Jeg ser, at alle her sondrer skarpt imellem Java web plugin og javascript, men måske er brugernes utilfredshed generelt mere bredt funderet, fordi kontaktfladen alt for ofte er noget skrammel.
Det er den synsvinkel, som jeg forsøger at anlægge og belyse.

Det har jo indlysende ikke noget med programmeringssproget at gøre, hvis de stiller dumme eller upassende spørgsmål i en formular. Og dit sikkerhedsprogram fanger det nok heller ikke, hvis de vælger at vise et personnummer.
Det er oplagt urimeligt at give skylden for sådanne menneskelige fejl til Java. Så utilfredsheden med Java bør for at ramme plet måske tænkes bredere, hvis man ønsker bedring.

DR tjekker også i et cpr-register om personen virkelig eksistere. Første tjek kunne let laves i JavaScript, men det efterfølgende opslag i registeret bør forgå på serveren, da det nok ikke er en god ide at sende en liste af alle CPR-nummere til enhver der kunne tænke sig at kontakte DR.

Jeg kan overhovedet ikke se, hvorfor DR's EDB folk skal have, eller anstændigt kan ønske at have, nogensomhelst adgang til et personnummer register.




.

[Ivan]

Jeg gentager der er intet på den side der har med java at gøre, javascript har ikke en skid med java at gøre.

[AJenbo]

Prøv at højreklikke på siden og vælg "vis sidens kildekoder" og søg på "Java".

På nuværrende tidspunkt er du blevet gjort tydelig opmærksom på at JavaScript ikke er det samme som Java så denne kommentar kan næsten ikke ses som andet end en provokation. Desuden ville du se koden for DR hoved siden og ikke den hvor formularen er på.

... måske kan man sige, at Java web plugin og javascript har den lighed, at de ofte begge optræder, når der skal skabes fortrolige forbindelser, hvor brugerne skal læse og svare på vigtige ting.

Nej, den eneste lighed er at de begge kan anvendes i sammenhæng med en hjemmeside, de kan dog også bruges til andet. Du kunne lige så godt forveksle JavaScript og VBScript.

Jeg ser, at alle her sondrer skarpt imellem Java web plugin og javascript, men måske er brugernes utilfredshed generelt mere bredt funderet, fordi kontaktfladen alt for ofte er noget skrammel.
Det er den synsvinkel, som jeg forsøger at anlægge og belyse.

Så du mener alle brugerfladen generelt er dårlige. Både Java og JavaScript bruges i næsten alle former for sammenhænge. Siden du ikke er i stand til at skælde mellem de 2 her, har jeg svært ved at tro du kan spotte dem i andre sammenhænge. Så mere end at belyse noget syndes jeg det er som at høre en blind beskrive et lysshow.

Det har jo indlysende ikke noget med programmeringssproget at gøre, hvis de stiller dumme eller upassende spørgsmål i en formular. Og dit sikkerhedsprogram fanger det nok heller ikke, hvis de vælger at vise et personnummer.
Det er oplagt urimeligt at give skylden for sådanne menneskelige fejl til Java. Så utilfredsheden med Java bør for at ramme plet måske tænkes bredere, hvis man ønsker bedring.

Så du mener at folk ofte bebrejder Java for ting der ikke har noget med Java at gøre fordi de forbinder Java med noget dårlig? Mener du der for at Java folk må forbedre hele computer verdenen for at rette op på deres eget image?

[AJenbo]

Hej Anders Jenbo,

Mange tak for din henvendelse vedrørende de tre sikkerhedsproblemer på dr.dk. Vi sætter pris på at blive gjort opmærksom på ting, som vi kan gøre bedre.

Vi kan oplyse at vi har patchet SSL serverne, så de nu er sikret mod CVE-2014-0224.

Ligeledes vil de eksterne statistikscripts blive fjernet fra sider med formularer, der har til formål at modtage personlig data som CPR Nummer. Dette vil ske næste gang de web applikationer, der hoster disse forms, bliver deployet.

Angående http ressourcer, der inkluderes på sider, der loades med https, så er vi allerede bekendte med dette problem og vi arbejder løbende med at få de forskellige sider rettet til.

De bedste hilsner
--------------------------------------------------------------------------------------------
* *
Centerchef, TU Interaktiv

DR
DR Byen
Emil Holms Kanal 20, opg 2-1
DK-0999 København C
T +45 xxxx xxxx
D +45 xxxx xxxx
M +45 xxxx xxxx
*@dr.dk
http://www.dr.dk