Разработчици: click-to-play за Java във Firefox може да е проблем

Mozilla са се заели сериозно с мисията си да опазят сигурността на потребителите на Firefox. Това стана ясно от едно скорошно решение на Mozilla да направи така че и Java елементите да се задействат не автоматично, а по поискване, но явно не всички са доволни от това решение.

Ходът на компанията е част от цялостната стратегия на Mozilla да направи обичаният от мнозина браузър още по-надежден, минимизирайки рисковете за задействане на случаен зловреден код по страниците, които посещаваме, а така също и замръзвания и спиране работата на браузъра причинени от грешка при изпълнението на някоя от популярните приставки. За кампанията на Mozilla ви разказахме още през януари.

В какво се изразява за потребителя промяната на политиката относно платформата на Oracle? Когато Java елемент в страницата, която посещавате поиска да се зареди, ще се появи предупреждение в адресната лента – кликайки върху предупреждението, потребителят ще получи възможността за активирането на елемента. Не са малко обаче хората, които са против промяната. За мнозина това ще затрудни работата на разработчиците на съдържание, администраторите и обикновените потребители. Според тях много потребители няма да видят предупреждението или ще се страхуват да разрешат изпълнението на плъгина от страх за своята безопасност.

Java е в основата на голяма част от богатото уеб съдържание, като се почне от различни игри до бизнес приложения. Критиците на промяната признават, че макар и активирането при поискване вероятно наистина ще предпази някои потребители от инциденти засягащи безопасността им в Интернет, то click-to-play опцията има риск да наруши нормалната работа на Java приложения, които изискват автоматично задействане, което ще е причина за незадоволително представяне на някои страници и неудобство за потребителите на Firefox.

Но Бенджамин Смедберг, шеф на инженерния отдел за Firefox, остава убеден, че промяната е за добро и решението на Mozilla по въпроса е окончателно. В бъг тракера на Firefox възникна сериозна дискусия по въпроса.
По думите на един от дискутиращите, click-to-play (англ.: „кликни, за да задействаш“) опцията може вместо решение по отношение на безопасността на потребителя, да се превърне в проблем за защитеността му. Той пише, че начина, по който е решено да бъде имплементирана характеристиката е грешен и веднъж научил потребителят да пренебрегва всяко предупреждение – независимо дали е от надежден източник или не – той се излага на риск.

„Какво ще се случи следващия път, когато потребителят се натъкне на неподписан, възможно зловреден аплет и пред тях изникне предупредителното съобщение, което изглежда по-същия начин, по който изглежда всяко друго предупреждение? Ще видят ли второто (реално третото) предупреждение (което идва) от Oracle и което работи по-добре, представяйки различните нива на възможен риск или за тях ще е все едно, възприемайки всички предупреждения, като „java предупреждения“ и ще кликат безразборно „да“ за разрешаване“, пише той.

Смедберг отговаря на всички заинтересовани и посочва публикацията в блога на компанията, която съобщава за началото на политиката в това отношение от януари тази година.
„Историята на откритите уязвимости в сигурността на Java и забавената реакция по запушването им, означава, че Java е добре да се счете, като „постоянно несигурна“, пише в заключителното си съобщение Смедберг.