Java Update 51 blockt Webanwendungen

[Marco31 33]

Hallo liebe Forum,

 

ich habe heute bei uns Java 7 SE Update 51 verteilt. Nun scheint das Update eine Webanwendung zu blocken, das lässt sich durch eintragen der Webadresse in der Whitelist (Java Control Panel -> Sicherheit -> Sitelist bearbeiten) verhindern. Ich möchte aber natürlich nicht an jedem Arbeitsplatz einzeln diese Eintragung machen.

 

Weiß jemand eine Methode, wie man das evtl. per GPO machen kann?

[Dukel 457]

Was für eine Webanwendung? Gibt es evtl. Probleme mit dieser (Zertifikat abgelaufen)?

[Marco31 33]

Ich vermute ganz stark dass es für die Anwendung kein Zertifikat gibt... Ist ne Zeiterfassung im Intranet, von daher wäre es (zumindest bei uns) auch nicht notwendig...

[Sunny61 811]

ich habe heute bei uns Java 7 SE Update 51 verteilt. Nun scheint das Update eine Webanwendung zu blocken, das lässt sich durch eintragen der Webadresse in der Whitelist (Java Control Panel -> Sicherheit -> Sitelist bearbeiten) verhindern. Ich möchte aber natürlich nicht an jedem Arbeitsplatz einzeln diese Eintragung machen.

 

Weiß jemand eine Methode, wie man das evtl. per GPO machen kann?

Überwache mit dem ProcessMonitor die Registry wenn Du die Sitelist bearbeitet hast. Anschließend auswerten oder in der Registry nach der Site suchen. Wenn Du den Eintrag findest kannst Du ihn sicherlich per Group Policy Preferences (Registry) an die Clients verteilen.

[Marco31 33]

Hmm, Java macht es mir nicht einfach... In der Registry ist nix zu finden, das ganze wird wie's aussieht in einer Datei gespeichert, die unter C:\Users\%username%\AppData\LocalLow\Sun\Java\Deployment\security liegt und exception.sites heißt. Der Versuch, diese Datei einfach per GPO in das Verzeichnis zu kopieren (ersetzen) schlägt leider mit folgendem Hinweis fehl:

 

Das Benutzer "security"-Einstellungselement im Gruppenrichtlinienobjekt "Java Site Whitelist {56DBD869-F3CD-4677-92ED-E59E80433779}" wurde nicht übernommen, da ein Fehler mit Fehlercode "0x80070005 Zugriff verweigert" Dieser Fehler wurde unterdrückt. aufgetreten ist.

 

Hat jemand ne Idee?

Argh, da waren die Finger etwas zu schnell... Hatte vergessen die Datei bei der GPO einzutragen, hatte nur den Pfadnamen als Ziel angegeben ;-) Nach Berichtigung funktioniert es jetzt.

Also, wer das Problem hat: Datei "exception.sites" per GPO verteilen und dann sollte es wieder funktionieren :-)

[zahni 559]

Die Policies der JRE kann man durchaus zentral verwalten. Eine der Anleitungen:

 

http://www.darkoperator.com/blog/2013/1/14/centralized-management-of-java-se-environment-using-gpo-redu.html

 

Die offizielle Orcale-Doku habe ich auf  die Schnelle nicht gefunden.

[Marco31 33]

Das werde ich in ner ruhigen Minute mal in Angriff nehmen, vielen Dank! :-)

[SBK 3]

Wir haben ebenfalls eine Intranet-Webanwendung (ohne Zertifikat) das Java benützt. Trotz Eintragung der Intranet-Adresse als Whitelist und die Reduzierung der Sicherheitsstufe auf Mittel, erscheint mit Java 7 SE Update 60 ein Sicherheitshinweis. Zwar kann man diesen bestätigen und dann funktioniert die Anwendung, aber das nervt gewaltig die User.

 

Gibt es da keine Lösung, ausser die User auf die Clickorgie einzustimmen? Ein Zertifikat vom Hersteller der Software ist nicht vorgesehen.

 

Gruss SBK

[Doso 77]

Wir haben das per GPO gelöst, die die entsprechende Einstelungsdatei entsprechend kopiert. Der Trick dabei ist die GPO als System laufen zu lassen.

[SBK 3]

Hi Doso,

 

Welche Einstellungsdatei habt Ihr dann per GPO verteilt. Erscheint wirklich kein Sicherheitshinweis bei euch?

 

Ich habe alle mögliche Einstellungen versucht, aber der Sicherheitshinweis erscheint immer noch (auch wenn nur zur Info).

 

Gruss SBK

[Sunny61 811]

Welche Einstellungsdatei habt Ihr dann per GPO verteilt. Erscheint wirklich kein Sicherheitshinweis bei euch?

exception.sites in %APPDATA%\LocalLow\Sun\Java\Deployment\security nehmen.

 

 

Ich habe alle mögliche Einstellungen versucht, aber der Sicherheitshinweis erscheint immer noch (auch wenn nur zur Info).

Auf einem Referenzrechner die Site in die Java-Ausnahmen aufnehmen, auf Anwenden klicken und testen.

[SBK 3]

Hi Sunny, ich habe die Exceptions.Sites wie auf http://systemcentersynergy.com/java-7u51-system-wide-exception-site-list/ beschrieben hinzugefügt. Die Einstellung werden auch an alle Clients verteilt. Wenn sich der Benutzer an der Intranet-Anwendung anmeldet, erscheint aber immer noch die Meldung:
 

Sicherheitshinweis: Möchten Sie diese Anwendung ausführen? Eine nicht signierte Anwendung fordert eine Ausführungberechtigung an.

 

Zwar wird die Anwendung nicht mehr geblockt, aber der Benutzer muss immer noch explizit auf ausführen klicken.

 

Habt Ihr das Sicherheitsfenster ganz wegbringen können?

 

Gruss SBK

[Sunny61 811]

Hi Sunny, ich habe die Exceptions.Sites wie auf http://systemcentersynergy.com/java-7u51-system-wide-exception-site-list/ beschrieben hinzugefügt. Die Einstellung werden auch an alle Clients verteilt. Wenn sich der Benutzer an der Intranet-Anwendung anmeldet, erscheint aber immer noch die Meldung:

Du hast die Datei auch mit verteilt? Kommt sie auf den Clients im richtigen Verzeichnis an?

 

Sicherheitshinweis: Möchten Sie diese Anwendung ausführen? Eine nicht signierte Anwendung fordert eine Ausführungberechtigung an.

 

Zwar wird die Anwendung nicht mehr geblockt, aber der Benutzer muss immer noch explizit auf ausführen klicken.

 

Habt Ihr das Sicherheitsfenster ganz wegbringen können?

 

Ja, bei uns kommt kein Hinweis mehr.

 

Ich hab das auf einem Testrechner konfiguriert bis kein Hinweis mehr kam, dann die Datei per GPP verteilt.

[SBK 3]

Vielen Dank für die Antwort. Ich habe nochmals alles überprüft und die Dateien werden korrekt verteilt und auch im lokalen Java korrekt ausgelesen.

 

Ich habe zwischenzeitlich aber festgestellt, das der Hinweis vom Browser her kommt. Wenn ich die Intranetanwendung als sichere Site hinzufüge, verschwindet auch der Sicherheitshinweis. Alternativ die Einstellung "ActiveX-Steuerelemente initialisieren und ausführen, die nicht als Sicher für Skripting markiert sind auf aktiv setzen. Wobei diese Einstellung wohl zu einer Sicherheitslücke im Internet führen würde, wegen dem bevorzuge ich die erste Variante.

 

So kann ich alles ausrollen.

 

Vielen Dank für die Unterstützung.

 

Gruss SBK

bearbeitet 16. Juni 2014 von SBK

[Sunny61 811]

Freut mich für Dich und Danke für die Rückmeldung. ;)