Update Javy zepsuł aplikację? czyli dlaczego warto śledzić zmiany w aktualizacjach bezpieczeństwa

Czasem zdarza się, że po aktualizacji któregoś z komponentów naszego systemu aplikacje z których korzystaliśmy nagle przestają działać. Może być to związane z nowym błędem wprowadzonym przez łatkę, ale niekiedy okazuje się że spowodowane jest to zamierzoną, i zapowiedzianą odpowiednio wcześniej, zmianą w jego konfiguracji.

Z taką właśnie sytuacją miałem doczynienia kilka miesięcy temu. Pewnego dnia próba odpalenia jednego z używanych przeze mnie narzędzi skończyła się niepowodzeniem. Pierwszą rzeczą którą zrobiłem było zapytanie znajomych jej użytkowników, czy u nich również problem występuje, w odpowiedzi usłyszałem:

– Coś zepsuli w ostatnim updejcie do javy, użyj poprzedniej wersji i będzie działać

W tym momencie przypomniało mi się, że faktycznie instalowałem ostatnio jakieś łatki. Należę jednak do osób które lubią wiedzieć co dokładnie się zepsuło, nie byłem również zbyt usatysfakcjonowany propozycją downgrade’u do poprzedniej wersji JRE.

Poszukiwania w google, poprzedzone sprawdzeniem błędów wypluwanych przez aplikację, szybko przyniosły wyniki: po kwietniowej aktualizacji bezpieczeństwa, JRE zaczęło traktować aplikacje podpisane za pomocą algorytmu MD5 tak samo jak nie podpisane w ogóle, a więc bez zmiany ustawień działać one nie będą – szczególnie w przypadku aplikacji java web start i appletów (choć te ostatnie i tak nie są już wspierane). Problem był więc spowodowany działaniem zamierzonym, i zapowiedzianym sporo wcześniej. Więcej tutaj.

Najlepszym rozwiązaniem sytuacji byłaby oczywiście aktualizacja aplikacji do wersji podpisanej algorytmem uważanym za bezpieczny, nie miałem wtedy niestety takiej możliwości. Jak więc można sobie poradzić z takim problemem jeśli nie chcemy całkowicie rezygnować z łatek bezpieczeństwa?