Squid: Java blocken

[snyborg]

Hi,

stelle mich wohl gerade etwas doof an, wenn es um Suchbegriffe geht, aber wie kann ich den Java(-Applets) mit dem Squid sperren?

Code: Alles auswählen

acl java rep_mime_type application/x-java
http_reply_access deny java

scheint nicht zu funktionieren.

Viele Grüße
Fabian

[wanne]

Kann es sein, dass die Seite die Java-Applets einfach einen falschen mimetype sendet. Ich glaube, die Browser sind da etwas tolleranter als nur application/x-java.

Sonst: ist https zugelassen? Vielleicht kommt's ja darüber.

Anosnten ist die Idee halt einfach nicht so genial auf nem Proxy zu filtern. (Wenn auch üblich.) Wenn du das ausführen von Java-Applets verhindren willst, sorg dafür, dass die auf den Clients nicht ausgeführt werden. Am ende Sorgt das filtern am proxy eh nur dafür, dass der Filter umgangen wird. (Meist mit ziemlich fatalen Konsequenzen für die Sicherheit, die man ursprünglich verbessern wollte.)

[uname]

Muss Java überhaupt den Mime-Type verwenden, wohl eher nicht. Vielleicht umgeht das Programm auch den Proxy. Ist Internet z.B. auch direkt möglich? Poste mal ein paar Logzeilen. Sinnvoll ist die Sperre sowieso nicht.

[snyborg]

Muss Java überhaupt den Mime-Type verwenden, wohl eher nicht. Vielleicht umgeht das Programm auch den Proxy. Ist Internet z.B. auch direkt möglich? Poste mal ein paar Logzeilen. Sinnvoll ist die Sperre sowieso nicht.

Internet ist auch direkt möglich. Es geht aber um eine Absicherung von Serverseite. Deshalb der Gedanke an einen Proxy. Flashvideos zu blocken war ja kein Problem, aber Java scheint wohl in aller Hinsicht ein Geschwür zu sein

Was wäre denn sinvoll, um Java zu unterbinden, wenn man nicht wirklich Einflusss auf die Clients hat?

Logfiles liefere ich nach...

Gruß
Fabi

[wanne]

Muss Java überhaupt den Mime-Type verwenden, wohl eher nicht.

Müssen laut SUN (oracle) schon. Wie das dann in der Wirklichkeit läuft weiß ich nicht.

Internet ist auch direkt möglich.

Vielleicht umgeht das Programm auch den Proxy. Ist Internet z.B. auch direkt möglich?

Würde ich auch drauf tippen. Proxy Umgehung ist einer der der Gründe für den Einsatz von Java. Aber eigentlich greift die sperre ja vorher.

Was wäre denn sinvoll, um Java zu unterbinden, wenn man nicht wirklich Einflusss auf die Clients hat?

Poste mal ein paar Logzeilen. Sinnvoll ist die Sperre sowieso nicht.

Sehe ich genauso. Mag sein dass ich da zu radikal bin, aber alles was ich an Absicherungen abseits von Clients gesehen habe, hat eher zu mssiveren Sicherheitslücken geführt.
Gerade aktuell: https wird im Krankenhaus geblockt, weil nicht filterbar. Also werden die Krankendaten halt per http um die halbe Welt geschickt. Und halbe Welt meine ich wirklich, weil der Proxy steht erstmal in UK.

Absicherung von Serverseite.

Serverseite? Wozu? Zum einen kann man einfach keine Java-applets verwenden. Zum anderen ist ja das einzige Problem von den Dingern, dass es in der Vergangenheit einige Male möglich war dass der Server den Client angreift. Wenn der Server gutartig ist, gibt's da ja kein Problem. Wenn du angst vor XSS hast solltest du das lieber richtig fixen. Außerdem habe ich XSS in freier Wildbahn eigentlich nie mit Java-Applets gesehen. Da ist JS der attraktivere Angriffspunkt. In Sachen Java wurde da zu viel in Sachen Sicherheit und Unbequemlichkeit gemacht. Man will die Meldung vom Unsignierten Applet nicht.

[snyborg]

Huhu,

k, das sind alles sinnige Argumente. Werde das also dem Clientmanagment überlassen (huch, plötzlich auch ich )

[uname]

Man könnte ja clientseitig Java bzw. das Java-Plugin deinstallieren. Die Frage ist immer wofür man es überhaupt braucht.