Publicado originalmente en el blog de Mozilla Costa Rica.

Recientemente se publicó un artículo en La Nación acerca de los problemas de seguridad que se han dado con el plugin de Java: Apague Java si usa Internet o podría ser presa de un hacker. El artículo brinda información muy importante, pero creo que hay algunos aspectos de esta situación que hacen falta aclarar.

El problema de seguridad son los applets de Java

Java es una tecnología muy amplia, que se puede utilizar para crear aplicaciones de servidor y de escritorio, entre otras. Una de esas “otras” son los applets, los cuales se pueden utilizar para mostrar contenido  especial en una página web. Para hacer esto, los navegadores como Firefox o Google Chrome utilizan el plugin de Java, de una manera similar al plugin de Flash se utiliza para mostrar videos en sitios como YouTube.

Es importante reiterar que los applets son una parte muy pequeña de lo que es Java, y sin embargo son la principal razón de sus problemas de seguridad. Basta con visitar un sitio controlado por un hacker que tenga un applet de Java malicioso, y el hacker podrá obtener control total sobre el sistema del visitante. Es un peligro muy grande, especialmente considerando que Java está instalado en la mayoría de los sistemas.

También es importante resaltar que los applets ahora son una rareza en la web, y son contados los sitios que requieren tener el plugin de Java instalado. Desafortunadamente el sitio del Banco Nacional de Costa Rica es uno de ellos.

Java no es lo mismo que JavaScript

A pesar de sus similares nombres, Java y JavaScript son dos tecnologías completamente distintas.

Como mencioné anteriormente, la utilización de Java en la web es mínima. El JavaScript, por otro lado, está presente en prácticamente todas las páginas web. Debido a esto, desactivar el JavaScript en cualquier navegador hace que leer hasta la más simple de las páginas se convierta en una tarea muy difícil o incluso imposible.

El JavaScript no tiene los mismos problemas de seguridad que Java, así que es innecesario desactivarlo por completo.

Los usuarios de Firefox ya están protegidos contra la vulnerabilidad de Java

En Mozilla se toma la seguridad muy en serio. Al conocer sobre la vulnerabilidades en el plugin de Java, el equipo de seguridad de Mozilla reaccionó de inmediato y decidió desactivar el plugin de Java en las versiones modernas del Firefox. Ésto se hizo automáticamente, así que todos los que tengan Firefox actualizado están protegidos.

La manera en que se desactiva es la siguiente. Si se visita un sitio que usa un applet de Java, como el del Banco Nacional, en vez del applet se muestra un mensaje que indica que el plugin no está activo. Esto es lo que aparece después de ingresar el número de cédula en sitio del BN:

Como se ve en la imagen, el applet no se ha ejecutado, y yo quedo en control si deseo tomar el riesgo o no. En el caso del Banco Nacional, no hay problema y se puede activar, siempre y cuando se haya ingresado al sitio escribiendo la dirección manualmente (https://www.bnonline.fi.cr), o utilizando un marcador. Recuerde nunca ingresar a un sitio bancario haciendo click en un vínculo de un correo electrónico o una página web.

¿Deberíamos remover Java completamente?

Si no utiliza Java para ninguna página web u otra aplicación, es lo más recomendable que sí.

Los que dependemos de sitios como el del Banco Nacional tendremos que mantenerlo habilitado. Ya que el Firefox protege a sus usuarios al no activar los applets automáticamente, lo único que hay que hacer para mantenerse protegido es solo activar applets cuando sea indispensable y mantener el Firefox actualizado.

El Banco Nacional utiliza applets de Java de una manera segura, con el fin de dar mayor seguridad a usuarios a la hora de ingresar al sitio. Aún así, debido a los problemas que tiene – y posiblemente seguirá teniendo – el plugin de Java, éste es un buen momento para que los encargados del sitio bancario busquen alternativas.