È Ora di riscrivere Java da zero, esperto di sicurezza dice

Se il più recente difetto di sicurezza in Java è un segno di qualsiasi cosa, è giunto il momento per Oracle di riscrivere il linguaggio di programmazione

Questa è la visione di Bogdan Botezatu, un analista senior di e-threat con Bitdefender, un produttore di software antivirus rumeno, che stima che ben 100 milioni di PC siano vulnerabili agli attacchi degli hacker a causa dell'ultimo difetto di Java scoperto questa settimana.

Secondo Botezatu, Oracle ha perso il controllo del codice Java, motivo per cui continuano a emergere gravi vulnerabilità nel software.

[Ulteriori informazioni: Come rimuovere malware dal PC Windows]

"Oracle ha bisogno di prendere alcuni componenti di base di Java e di scriverli da zero", ha detto in un'intervista.

Il problema con prodotti maturi come Java e quelli realizzati da Adobe è che così tante mani li hanno toccati per un lungo periodo di tempo. "Questi prodotti sono diventati così grandi e sono stati sviluppati da così tanti programmatori che i produttori hanno probabilmente perso il controllo su cosa c'è nel prodotto", ha detto Botezatu.

Combattere i difetti

I risultati dei recenti sforzi di Oracle per correggere le vulnerabilità in Java supporta l'analisi dell'esperto di sicurezza rumeno.

Ad esempio, Oracle ha corretto tre vulnerabilità di sicurezza nell'agosto 2012 con una nuova versione di Java, versione 7 rev. 7. Entro poche ore dalla pubblicazione di tale correzione, il ricercatore di sicurezza polacco Adam Gowdiak, fondatore e CEO di Security Explorations, ha riscontrato una vulnerabilità creata dall'aggiornamento. Alcuni esperti di sicurezza dicono che Java è sopravvissuto al suo ruolo e le sue funzioni sono gestite da altre tecnologie.

L'ultima vulnerabilità zero-day trovata nel linguaggio di programmazione può anche essere ricondotta alle patch inetto introdotte nell'aggiornamento della sicurezza di ottobre 2012. Questo aggiornamento era incompleto e ha aperto la porta alla vulnerabilità scoperta questa settimana, secondo Gowdiak.

"Ora è un buon momento per riscrivere alcuni componenti fondamentali da zero e assicurare che siano privi di errori, piuttosto che applicare patch all'applicazione da una versione all'altra ", ha detto Botezatu.

Botezatu riconosce, tuttavia, che non è probabile che accada. "Oracle non è aperto a fare grandi cambiamenti perché potrebbero rompere le applicazioni già sul mercato", ha aggiunto.

Il problema che Oracle affronta con lo sviluppo di Java è affrontato da tutti i produttori di software: come migliorare un programma senza distruggerlo compatibilità con le versioni precedenti.

"Guarda Windows Vista e come non è stato adottato perché alcune applicazioni dei clienti non funzionavano da XP a Vista", spiega Botezatu.

Tuttavia, alcuni segnali indicano che Oracle sta provando a affrontare alcuni dei problemi sollevati da Botezatu. Venerdì, la società ha annunciato che, a partire dal rilascio di Java 8 a settembre, le nuove versioni saranno distribuite su un programma biennale.

Per quanto riguarda gli attuali problemi di sicurezza, il Dipartimento della Sicurezza Nazionale degli Stati Uniti raccomanda di chiudere Java nel browser, che può essere eseguito seguendo queste istruzioni da Oracle.