我绘制了一张每年有关 JRE 的 CVE 报告数量的图表。
现在你可以看到这个数字在 2012-2013 年飙升,如果你看一下过去几年里关于 java 的新闻数量,这很容易猜到。但是,我无法找到解释原因:
- Java变得更流行了吗?
- Java 刚刚变得更受黑客欢迎吗?
- 是因为被甲骨文收购吗?
我绘制了一张每年有关 JRE 的 CVE 报告数量的图表。
现在你可以看到这个数字在 2012-2013 年飙升,如果你看一下过去几年里关于 java 的新闻数量,这很容易猜到。但是,我无法找到解释原因:
我认为这是一种“趋势效应”,也是时尚(在“服装”意义上)一切的驱动力。请允许当地的法国人谈论时尚。
时尚是一种自相矛盾的社会行为。追随时尚的人同时寻求:
实际上,时尚受害者必须既是领导者又是追随者。如果上下文是电子学,我们会说我们观察到一个具有正反馈的电路,它必须在局部稳定配置之间表现出急剧的转变。一个额外的影响是,在服装时尚中,唯一普遍的影响是快速贬值:没有一种时尚可能会保持活跃超过几个月。简而言之,时尚是快节奏的,当它稍微向一个方向倾斜时,每个人都会朝那个方向冲去。这就解释了时尚来去匆匆的方式。
黑客是极客版的时尚受害者。他们的兴趣和努力总是被看似“热门话题”所驱动。日日夜夜在键盘上度过的人通常对社会排斥非常敏感(因为他们平均很少接触社会),因此他们厌恶专注于“过去”技术的想法,这会剥夺他们最后一丝同行认可他们所希望的。因此,当一个话题似乎预示着荣耀时,他们都会奔向它。“荣耀”在这里可以等同于“slashdottable”。
在安全和 Java 的具体案例中,触发因素很可能确实是甲骨文收购了 Sun。甲骨文是一个众所周知的“坏人”,因此在甲骨文产品中发现安全漏洞总是有一些名气(计算机人一直对虚无主义情有独钟)。此外,Java 的安全模型(applet 模型)看起来已经成熟,但存在潜在的漏洞:在 Java applet 模型中,“安全边界”是恶意世界(applet 代码本身)和受保护世界(主机系统)通过标准库 API:数百个系统类必须检查和执行复杂的权限系统。攻击面巨大. 必须时不时地有漏洞。Sun 的人很擅长他们所做的事情,但要让小程序模型安全,则需要神圣的开发能力。
几个bug一被发现并公之于众,“名利双收”的念头就如同草原上的火一样在黑客集体的脑海中闪过,纷纷涌上心头。这就是富矿的力量。一旦大脑因财富的承诺而燃烧(在这种情况下,Twitter 追随者或 Slashdot 得分),就无法阻止他们。
不过,它很快就会结束。“Java 错误太棒了 2013 年!”
优秀的信息图表!除非有人真正坐下来通读各种 CVE 并彻底理解它们,否则很难提供任何实质性的答案。话虽如此,我愿意在这里胡乱猜测。
浏览器蠕变——使用三种主流浏览器(IE、Firefox 和 Chrome),必须为更广泛的整体环境开发插件。不同的浏览器将有不同的挂钩返回到实际的浏览器环境,因此在与如此不同的环境集成时会出现各种疏忽(不要忘记智能手机!)
Android -- Java 从未像今天这样被广泛使用,这在很大程度上要归功于 Android。随着越来越多的开发者对平台(不是Android平台,而是Java的核心平台)进行锤击,自然会发现更多的bug,而随着开发者世界对安全的意识越来越强,这些bug被报告和披露是很自然的.
(锡箔帽警报!)阴谋——它可能是甲骨文试图杀死 Java(就像 Adobe 杀死了 Flash。)因为我的阴谋 sombrero 还不够大,无法构思或设计出如此奇妙的东西,所以我不知道这是什么原因,但我不排除这种可能性。
这就是我胡思乱想的程度。
干杯,
-C
jre 7 添加了很多新功能和很多错误。2014 年 1 月,对 jre 7 的更新使得运行小程序变得更加困难。