Mi aplicación se implementa como un subprograma autofirmado para varios miles de usuarios en más de 50 escuelas de todo el país (en Noruega). Al usuario se le presenta la advertencia de seguridad estándar de Java preguntándole si aceptará la firma. Cuando lo hacen, el subprograma se ejecuta perfectamente.
Sin embargo, hace aproximadamente medio año, un grupo de 7 escuelas, todas bajo un departamento de TI común, dejó de recibir la advertencia de seguridad. En lugar de eso, el subprograma se carga y comienza a ejecutarse en modo no confiable, sin darle primero al usuario la opción de aceptar o rechazar la firma.
El problema está en las máquinas con Windows y solo cuando la máquina está conectada a la red de la escuela. Si se llevan la misma máquina a casa, el programa funciona como debería, con advertencias de seguridad y todo.
Sé poco sobre los sistemas Windows en general, pero creo que sería algún tipo de archivo de políticas o algo que se carga cuando una máquina se conecta a/a través de la red de la escuela.
Además, el problema solo comenzó a ocurrir en estas 7 escuelas después de los cambios realizados después de una brecha de seguridad que tuvieron hace un tiempo. El departamento de TI está perplejo. Estoy perplejo.
¿Alguna idea, comentario, sugerencia?
Respuesta1
No soy un experto en seguridad del navegador, pero me imagino que la configuración de seguridad del navegador se ha cambiado para tratar todos los certificados que no son de confianza (los certificados autofirmados no están firmados por una autoridad de certificación (CA) confiable, por lo que podrían provenir de cualquier persona ) como inseguro como resultado de la violación de seguridad.
Eso encajaría con las advertencias que no se emiten y solo puedo imaginar que esto significa que la autocertificación se marca automáticamente como no confiable, razón por la cual el subprograma solo se ejecuta en modo no confiable.
Respuesta2
¿Sus usuarios intentaron limpiar los certificados de sus máquinas?
Panel de control/Java/Seguridad/Certificado/Eliminar?
Como dijo beny23, es posible que hayan considerado por error el certificado autofirmado como inseguro...
Pero no explicaría por qué el sistema puede ejecutarse desde casa...
Respuesta3
Mi mejor suposición es que un proxy web está filtrando los frascos autofirmados.
Hay una opción "Permitir a los usuarios otorgar permisos al contenido de una autoridad que no es de confianza" en el panel de control. Además, la verificación OCSP ha cambiado la configuración predeterminada entre actualizaciones, aunque supongo que eso probablemente no importe para la autofirma.
Recomiendo encarecidamente no aceptar certificados autofirmados.