Pourquoi le plugin Java (JRE) est-il désactivé dans Chrome?

Pourquoi le plugin Java (JRE) est-il désactivé dans Chrome? C'est un problème de sécurité?

Depuis le site web officiel de Java:

Chrome ne prend plus en charge NPAPI (technologie requise pour les applets Java). Le plug-in Java pour les navigateurs Web repose sur l'architecture de plug-in multiplateforme NPAPI, prise en charge par tous les principaux navigateurs Web depuis plus de dix ans. La version 45 de Google Chrome (prévue pour septembre 2015) supprime la prise en charge de NPAPI, ce qui a un impact sur les plug-ins de Silverlight, Java, Facebook Video et d'autres plug-ins similaires basés sur NPAPI.

Mais quelqu'un sait pourquoi? Comment cela pourrait-il être dangereux pour les utilisateurs de Chrome avec la dernière version de Java JRE installée?

Pourquoi Java est-il désactivé dans Chrome? C'est un problème de sécurité?

Selon le blog Chromium, les raisons qui ont motivé la désactivation de NPAPI, et donc de Java, sont les suivantes:

• Sécurité accrue
• Augmentation de la vitesse
• Stabilité accrue
• Réduction de la complexité du code
• Réduction des accidents
• Réduction de pendent
• Manque de support pour les appareils mobiles

Remarque:

• Firefox supprime également la prise en charge de NPAPI - Voir Plugins NPAPI dans Firefox :

  Les plugins sont une source de problèmes de performances, de pannes et d’incidents de sécurité pour les utilisateurs Web.

  Mozilla a l'intention de supprimer la prise en charge de la plupart des plug-ins NPAPI dans Firefox d'ici la fin de 2016.

Comment cela pourrait-il être dangereux pour les utilisateurs de Chrome avec la dernière version de Java JRE installée?

Réponse courte: Exploits Zero Day.

Une autre source de vulnérabilités est le fait que Java n’a pas publié de programme de mise à jour automatique qui ne nécessite aucune intervention de l’utilisateur ni les droits d’administrateur. Par exemple, Google Chrome et Flash Player ont. Cette fonctionnalité permet aux utilisateurs d’obtenir des mises à jour automatiques sans être invité à prendre des mesures, ce qui facilite les mises à jour.

En l'absence d'un système de mises à jour automatiques, de nombreux utilisateurs ignorent les mises à jour Java et craignent même de les installer, en raison de programmes malveillants ayant utilisé les mises à jour Java comme vecteur d'infection par le passé ou par des expériences similaires.

Sachez simplement que toutes ces vulnérabilités sont la source de la prospérité des cybercriminels.

...

Les données extraites de notre propre base de données confirment que Java est la deuxième plus grande vulnérabilité de sécurité nécessitant des correctifs permanents, après le plugin Flash d’Adobe.

Rien qu'en 2015, nous avons déjà déployé 105925 correctifs pour Java Runtime Environment pour nos clients.

Lisez le reste de l'article pour une explication détaillée et un commentaire.

Source Pourquoi les vulnérabilités de Java sont-elles l’un des plus gros trous de sécurité sur votre ordinateur?

Le compte à rebours final pour NPAPI

En septembre dernier, nous avions annoncé notre projet de suppression de la prise en charge de NPAPI dans Chrome. Cette modification améliorera la sécurité, la vitesse et la stabilité de Chrome, tout en réduisant la complexité du code source.

Source Le compte à rebours final pour NPAPI

Dire au revoir à notre vieil ami NPAPI

L’architecture des années 90 de NPAPI est devenue une cause majeure de blocage, de crash, d’incidents de sécurité et de complexité du code. Pour cette raison, Chrome supprimera progressivement le support NPAPI au cours de la prochaine année. Nous pensons que le Web est prêt pour cette transition. NPAPI n'est pas pris en charge sur les appareils mobiles et Mozilla prévoit de créer par défaut tous les plug-ins, à l'exception de la version actuelle de Flash.

Source disant au revoir à notre vieil ami NPAPI

Comme expliqué par Google , l’API plug-in de Netscape (NPAPI) était nécessaire aux débuts des navigateurs Web pour étendre leurs fonctionnalités. Malheureusement, cela donnait accès à la machine sous-jacente. Ainsi, si le plug-in contenait une vulnérabilité et qu'un attaquant l'exploitait, il attaquait le sandboxing du navigateur et avait accès à la machine.

De tels vecteurs d’attaque ont été très utilisés dans le passé pour infecter des machines, ce qui conduit à l’avis de désactiver Java sur votre navigateur. De nombreuses fonctionnalités fournies par les plug-ins Java sont désormais incluses par le navigateur lui-même (par exemple, HTML5) avec de meilleures performances et une meilleure sécurité ou par des extensions s'exécutant dans un sandbox (par exemple, NaCL ). C'est pourquoi la décision de ne plus supporter les plugins Java a été prise: risque élevé, mais pas vraiment besoin.

Depuis longtemps, Java, ainsi que d’autres plugins comme Flash ou Silverlight, se sont éloignés du Web. L'un des objectifs de HTML5 était de créer un cadre où les plugins ne sont pas nécessaires (d'où les balises comme <audio>et <video>). À ce jour, la seule raison de prendre en charge Java est la compatibilité avec les systèmes hérités qui auraient probablement déjà dû être retirés.

Alors, pourquoi les plugins comme Java sont-ils une menace pour la sécurité? Parce que l’histoire a prouvé qu’il y aura toujours un flot continu de failles de sécurité permettant une multitude d’exploits. Il est simplement plus difficile de sécuriser une machine virtuelle exécutant du bytecode Java que de mettre en sandbox un langage de script interprété tel que JavaScript. Il suffit de regarder ces statistiques .

Comme vous le dites, il est recommandé de garder vos plugins à jour. Mais ce n'est pas assez. Premièrement, beaucoup de gens ne le font pas. Il a récemment été révélé que même l'équivalent suédois de la NSA exécutait des plug-ins Java obsolètes avec des vulnérabilités de sécurité connues. S'ils ne peuvent pas le faire correctement, vous attendez-vous à l'utilisateur à la maison moyen de le faire? Deuxièmement, il n'y a aucun moyen de vous protéger de zéro jour. Quelle que soit la rapidité avec laquelle Oracle produit des correctifs, vous serez exposé à des risques.

Même Oracle a reconnu que l'ère des applets Java est terminée. De Ars Technica (janvier 2016):

Oracle, le plug-in de navigateur Java très critiqué, source de tant de failles de sécurité au fil des ans, va être tué. Il ne sera pas pleuré.

Oracle, qui a acquis Java dans le cadre de son acquisition de Sun Microsystems en 2010, a annoncé que le plug-in serait obsolète dans la prochaine version de Java, version 9, actuellement disponible en version bêta à accès anticipé. Une future version l'enlèvera entièrement.