OC|Webcast "Java heute" vom 28.09.2021

© OPITZ CONSULTING 2021 / Interner Gebrauch
Modernisierung: Webcast "Java heute", 28.09.2021 1
28.09.2021
Michael Paege
JAVA ALS SECURITY-RISIKO?
SITUATION 2021

BITTE BEACHTEN SIE…
Modernisierung: Webcast "Java heute", 28.09.2021 Seite 2
Wir werden Ihnen die
Aufzeichnung dieses
Webinars sowie die
Vortragsfolien in den
nächsten Tagen
zusenden.
Bitte melden Sie sich
bei technischen
Störungen während
des Webinars über
die Frage-Funktion an
die Organisatoren.
Ihre inhaltlichen
Fragen stellen Sie
bitte auch über die
Frage-Funktion.
Wir beantworten
diese gerne zum Ende
des Webinars.
?
Alle Teilnehmer sind
stummgeschaltet. Nur
so können wir ein
störungsfreies
Webinar bei großer
Personenzahl
gewährleisten.

IT-MODERNISIERUNG
Grundlage
der Digitalisierung
 Wettbewerbsfähigkeit
 Dynamikrobustheit
 Kundenerwartung
Vermeiden
der Wartungsfalle
 Legacy Technologien
 Sicherheit
 Fachkräftemangel
Investitionsschutz
 Geistiges Eigentum
 Kosten
 Stabilität
 Akzeptanz
Strukturelle
Zukunftsfähigkeit sichern
 Skalierbarkeit
 Flexibilität

ALLGEMEINES ZU
(ORACLE) JAVA
1
COMPLIANCE UND
SECURITY
2
SECURITY-ASPEKTE
4
AKTUELLE SITUATION IM
MARKT
3
WAS TUN?
5
UNSER ANGEBOT
6
IHRE FRAGEN
7
LIVE-DEMO
8

ALLGEMEINES ZU (ORACLE) JAVA
1

HISTORIE, GEGENWART UND ZUKUNFT
 2006: Sun stellt Java unter Open Source: GNU GPL
 2009: Oracle kauft Sun
 ab 2010: das OracleJDK wird mittels Oracle Binary Code License Agreement for Java SE
(BCL) lizenziert
 ab 09.2018: Der JCP verkürzt die Release-Kadenz von 3 Jahren auf 6 Monate
 ab 09.2018: für Download des OracleJDK 11 muss OTN-Lizenz für Java akzeptiert werden
 ab 04.2019: OTN-Lizenz für Java wurde geändert und gilt nun für OracleJDK 8 ab Build
211 sowie für OracleJDK 11, 12, 13, ff
 kostenfreie Nutzung des OracleJDK nur für Personal Use, Development Use, Oracle Approved
Product Use und Oracle Cloud Infrastructure Use
 Andere Nutzung des OracleJDK muss durch Subscription und Oracle Standardverträge (OMA
oder TOMA plus LDR) lizenziert werden
 NEU: ab 09.2021: Ab OracleJDK17 gilt (für die LTS-Versionen?) die Oracle No-Fee Lizenz.
Dies bedeutet kostenfreie Nutzung auch für kommerziellen Einsatz für den Zeitraum bis
1 Jahr nach Erscheinen der nächsten LTS-Version.
Release-Kadenz für LTS-Versionen wurde auf 2 Jahre verkürzt.
OpenJDK
(java.net
→ github)
OracleJDK
(java.com)
OpenJDK-
Distributionen
Adopt OpenJDK
(Eclipse Adoptium)
Azul Zulu
Microsoft
AWS Corretto
in Linux
Distrirbutionen
Div. andere
Distributionen
(z.B. SAP, …)

ORACLE JDK UND OTN-LIZENZ
WAS IST DAMIT MÖGLICH ?
 Personal Use
 “Personal Use” refers to an Individual's use of the Programs solely on a desktop or laptop computer
under such Individual's control only to run Personal Applications.
 “Personal Applications” refers to Applications designed for individual personal use only, such as
games or personal productivity tools
 Development Use
 “Development Use” refers to Your internal use of the Programs to develop, test, prototype and
demonstrate Your Applications. For purposes of clarity, the “to develop” grant includes using the
Programs to run profilers, debuggers and Integrated Development Environments (IDE Tools) where
the primary purpose of the IDE Tools is profiling, debugging and source code editing Applications
 Oracle Approved Product Use
 Oracle Cloud Infrastructure Use

ORACLE JDK UND OTN-LIZENZ
WAS IST DAMIT MÖGLICH ?
 Oracle Approved Product Use
 “Oracle Approved Product Use” refers to Your internal use of the Programs only to run: (a) the
product(s) identified as Schedule A Products at https://java.com/oaa; and/or (b) software
Applications developed using the products identified as Schedule B Products at java.com/oaa by an
Oracle authorized licensee of such Schedule B Products. If You are unsure whether the Application
You intend to run using the Programs is developed using a Schedule B Product, please contact your
Application provider
 Oracle Cloud Infrastructure Use
 “Oracle Cloud Infrastructure Use (“OCI Use”)” refers to Your use of the Programs on Oracle's Cloud
Infrastructure with the Oracle Cloud Infrastructur products identified in the Oracle PaaS and IaaS
Universal Credits Service Descriptions available at http://oracle.com/contracts during the period in
which You maintain a subscription for such Oracle Cloud Infrastructure products

WELCHE ORACLE-JAVA-VERSIONEN SIND KOSTENFREI ?
 OracleJDK 6 bis einschließlich Patchlevel 45 (April 2013)
 OracleJDK 7 bis einschließlich Patchlevel 80 (April 2015)
 OracleJDK 8 bis einschließlich Patchlevel 202 (Januar 2019)
 Ab Oracle JDK11, 12, … bis einschließlich Patchlevel 2
(analog zum OpenJDK)
 Für OracleJDK >8.202 und 11-16 gilt:
 Kostenfrei für personal Use, Development, Cloud Infrastructure Use und
wenn ausschließlich in Verbindung mit einem supporteten Oracle-Produkt verwendet
(bis auf wenige Ausnahmen wie bspw. SQL Developer)
 OracleJDK 17 bis einschließlich Patchlevel 6 (September 2024)

NO-FEE LIZENZ FÜR ORACLE JDK 17
 Gültig bis 1 Jahr nach Erscheinen der nächsten LTS Version, also Sept. 2024
 Kostenfreie Nutzung auch für produktive/kommerzielle Nutzung
 Updates und Patches

COMPLIANCE UND SECURITY
2

2 ASPEKTE: COMPLIANCE/KOSTEN UND SECURITY
Was tun?
kostenpfl.
Versionen
ermitteln
 Entscheidung für OpenJDK(s) treffen
 OpenJDK möglich?
 Ja → migrieren
 nein → Cluster konsolidieren mögl?
 Konsolidierung planen/umsetzen
 Anzahl Server- und Desktop-
Subscriptions beschaffen
Optimierung
 Systeme sammeln
 höchste Java
Versionen sammeln
 kostenpfl. identif.
 Compliance Risiko
bewerten
Inventur
Compliance
Was tun?
„alte“
Versionen
ermitteln
Optimierung
 alle Java Versionen
sammeln
 Security-Risiko
bewerten
Inventur
Security

AKTUELLE SITUATION IM MARKT
3

Modernisierung: Webcast "Java heute", 28.09.2021
AKTUELLE SITUATION IM MARKT
 Viele Kunden haben vor mehr als 2 Jahren die Oracle-Java-Updates gestoppt um nicht bzgl. der
kostenpflichtigen OracleJDK-Versionen incompliant zu werden bzw. um Kosten zu sparen
 Die dann eigentlich geplanten Migrationsvorhaben auf OpenJDK mussten anderen Prioritäten
und Notwendigkeiten (Corona-Auswirkungen) weichen
 Viele Kundenworkshops haben gezeigt, dass auch noch viele noch ältere Versionen
(Java4, Java5 etc.) im produktiven Einsatz sind
 Bei einigen Kunden sind noch Java-Applets im Einsatz …
… und der Microsoft Internet Explorer geht am 15.06.2022 aus dem Support
(https://blogs.windows.com/windowsexperience/2021/05/19/the-future-of-internet-explorer-on-windows-10-is-in-microsoft-edge/)
 Wenige Kunden sind schon komplett auf OpenJDK
 Wenige Kunden zahlen Java-Subskription, weil sie – zumindest teilweise – nicht vom OracleJDK
weg können oder wollen
 Neu ist nun die Option, weiter kostenfrei OracleJDK zu nutzen, wenn man auf OracleJDK17 upgradet
Seite 14

SECURITY-ASPEKTE
4

JAVA 8 OHNE UPDATES WEITER BETREIBEN
JAVA OHNE SECURITYPATCHES ?
Seite 16
Quelle: Oracle

JAVA 8 OHNE UPDATES WEITER BETREIBEN
JAVA OHNE SECURITYPATCHES ?
Seite 17
Quelle: Oracle

SICHERHEITSRISIKEN FÜR EIGENENTWICKLUNGEN
 Mit Vorsicht zu genießen
 Aber:
 Sicherheitsrisiken lauern überall
 Java Abhängigkeiten (Apache Commons,
Spring, XML, …) sind ebenfalls prominent
vertreten
 … wie adressieren Sie diese Abhängigkeiten?
Seite 18

JAVA SECURITY STORIES AUS DEM LEBEN
 Uralte BI Applikation verwendet heute noch Java Applets,
Java-Applets werden nur noch vom IE unterstützt,
Java-Applets gehören nicht mehr zum Feature-Umfang Java9 ff.
Der IE wird nach dem 15.06.2022 nicht mehr supportet
 Equifax hack
 Apache Struts 2 vulnerability (CVE-2017-9805)
 Großer Datenabfluss von Kundendaten
 Aus der Ferne Java-Code mit JSON ausführen
 Exploiting the Jackson RCE: (CVE-2017-7525)
 Bibliothek “Jackson Databinding” in vielen RESTful Service Stacks im Einsatz
Seite 19

SICHERHEITSRISIKEN FÜR EIGENENTWICKLUNGEN MINIMIEREN
 Beachtung aus dem Standarddokument OWASP Top 10 Risiken für Webanwendungen
 https://owasp.org/www-project-top-ten
 OWASP Dokument sollten Sie sich zu eigen machen, um dafür zu sorgen, dass ihre
Webanwendungen diese Risiken minimieren
 Auszug TOP 10
 Injection (SQL usw.)
 Broken Authentication (Session Token)
 Insecure Deserialization (Daten in XML- Dokumenten oder in JSON Dokumenten)

WAS TUN?
5

DETECTION
5.1

DETECTION – WO IST DENN ÜBERALL JAVA INSTALLIERT ?
 Professionelle Scanner (USU, Snow, Flexera, VisualVM, …)
 Oracle Java Monitoring Services (Oracle JMS)
 siehe nächste Folien
 Selbst entwickelte Scanner, die Registry, Prozesse, Umgebungsvariablen und ggf. Filesystem
durchsuchen

GRUNDLAGEN / FUNKTIONALITÄT
 Teil von OCI (Oracle Cloud Infrastructure – Account notwendig)
 Agent für jede Instance (Host)
 Übertragung der Reports nach OCI
 Übersicht von Java-Anwendungen
 Installation: Anbieter, Version – separat installiert oder Bestandteil von
Drittanbieter-Software
 Laufende Applikationen – Performance Monitoring
 Bisher nur Linux-Unterstützung, nur Oracle JVMs (kein OpenJDK etc.*)
 Basiert auf Java Usage Tracker, der weiterhin commercial Feature des
OracleJDK bleibt
→ Java Subscription notwendig
 Vorteile von Cloud
 Aufbereitung der Ergebnisse von Java Usage Tracker
(Bestandteil seit Java 7, aber kostenpflichtig)
 Kontinuierliche Überwachung/Rückmeldung

ANWENDUNGSSZENARIEN
 Einmaliger Überblick über Java
 Sind alle Java-Installationen aktuell? Welche Applikationen laufen derzeit?
 Korrekte Lizenzierung wird nicht überprüft, Übersicht kann aber als Startpunkt helfen
 Laufen ggf. nicht autorisierte Anwendungen?
 Kontinuierliche Überwachung
 Haben einzelne Anwendungen zeitweise Performance-Probleme z.B. zu wenig Rechnerkapazitäten?

LIZENZBESTIMMUNGEN VON JMS
 JMS Agent ist kostenlos
 Voraussetzung für die Erhebung ist eine gültige Oracle Java Lizenz, z.B. Java SE Desktop
 JMS basiert auf Java Usage Tracker
 Java Usage Tracker ist enthalten in Oracle Java „SE Products“
 OCI Monitoring
 Free tier – kostenlos zum Ausprobieren
 bis 500 Mio. Datenpunkte zur Erhebung
 bis 1 Milliarde Datenpunkte für Abfragen
 OCI Preise
 0,0025$ pro 1Mio Datenpunkte zur Erhebung
 0,0015$ pro 1Mio Datenpunkte für Abfragen

LÖSUNGEN ERARBEITEN
 Migration auf passende Open JDK
Distribution
 Migration auf OracleJDK 17
 Oracle Java SE Subscription beziehen
5.2

OPEN JDK
 Open JDK ist die Grundlage von diversen Java Distributionen
 Kostenfreie OpenSource Angebote
 AdoptOpenJDK (unterstützt durch IBM & Microsoft Azure) → Eclipse Adoptium
 Amazon Coretto
 Microsoft Java
 Kommerzielle Angebote in Linux Distributionen und von anderen Herstellern
 RedHat (auch Java for Windows)
 SUSE
 SAP
 Kommerzielle Angebote
 Oracle Java SE
 Azul Zulu
Seite 28
OpenJDK
(java.net
→ github)
OracleJDK
(java.com)
OpenJDK-
Distributionen
Adopt OpenJDK
(Eclipse Adoptium)
Azul Zulu
Microsoft
AWS Corretto
in Linux
Distrirbutionen
Div. andere
Distributionen
(z.B. SAP, …)

UNTERSCHIEDE ZW. OPENJDK AND ORACLE JDK
 Viele Projekte haben mit früheren Java-Versionen die Erfahrung gemacht,
 dass OracleJDK stabiler war
 und eine bessere Performance bot
 oder ein größeres Feature Set hatte
 Oracle ist dabei, die technischen Unterschiede zwischen OpenJDK und OracleJDK ausgleichen
 Und Oracle hat die kommerzielle Features wie den Java Flight Recorder oder Mission Control ab
Java 11 open source gestellt
 Anbieter stellen Kompatibilität über das TCK (Technical Compatibility Kit) sicher
Seite 29

OPENJDK: WORKFLOW DER DISTRIBUTOREN
Quelle: Hendrik Ebbers: Java11 Keynote ( @HendrikEbbers)
Seite 30

OPENJDK: WORKFLOW DER DISTRIBUTOREN
Seite 31

OPENJDK:
AT THE END: SAME SAME BUT DIFFERENT
Seite 32

MIGRATION AUF ORACLE JDK 17
 No Fee Lizenz und Updates/Patches - auch für kommerziellen, produktiven Einsatz –
bis September 2024
 Danach dann Migration auf nächste LTS-Version (voraussichtlich Oracle JDK 21),
die bis September 2026 kostenfrei ist und unterstützt wird
 Abstrakt:
 die jeweilige Oracle LTS Version ist kostenfrei und mit Updates/Patches versorgt für 3 Jahre
 die aktuell geplante Release-Kadenz für OracleJDK mit LTS beträgt 2 Jahre
Seite 33
Oracle JDK 17
Jahr
09.2021 09.2023
09.2022 09.2024 09.2026
09.2025 09.2027
Oracle JDK 21
Oracle JDK 25
09.2028
Oracle JDK 29

JAVA SE SUBSCRIPTION
 Beinhaltet Lizenz & Support
 Lizenz auf OracleJDK & kommerzielle Tools (z.B. Flight Recorder, Mission Control,
MSI Installer)
 Sicherstellung des Supports (Patches, Updates, 24x7, MyOracleSupport) durch:
 bisher: Lizenz & Support (bis 15.7.18) , läuft aus
 Neu: (seit 15.7.18) Subskription, günstiger , einfacher zu lizenzieren
Kommerzieller Support für Java 8 gewährleistet die Verfügbarkeit von Patches für insgesamt 8 Jahre (5 Jahre
Premier Support plus 3 Jahre Extended Support)
 Bedeutet für Oracle JDK 8:
 Premier Support bis Ende März 2022
 Extended Support bis Ende März 2030
Seite 34

JAVA SE SUBSCRIPTION - PREISLISTE
Seite 35

UNSER ANGEBOT
6

JAVA – ZUKUNFTSPLANUNG UND –GESTALTUNG
Was tun?
kostenpfl.
Versionen
ermitteln
Optimierung
 Systeme sammeln
 höchste Java
Versionen sammeln
 kostenpfl. identif.
 Compliance Risiko
bewerten
Inventur
Compliance
Was tun?
„alte“
Versionen
ermitteln
 Entscheidung für OpenJDK treffen
Optimierung
 alle Java Versionen
sammeln
 Security-Risiko
bewerten
Inventur
Security

UNSER ANGEBOT FÜR SIE
Datenerfassung
 Sie sammeln die Daten mit dem
Scanner-Tool ihrer Wahl
 Wir beraten Sie bei der
zielgerichteten Erhebung der Daten
 Wir prüfen laufend die Qualität der
entstehenden Daten
Datenauswertung
 Wir werten die von Ihnen
gesammelten Daten aus
 Wir ermitteln die benötigten
Lizenzen um die Oracle JDKs zu
lizensieren
 Wir berechnen die daraus
resultierenden Kosten
 Wir zeigen Securit-
Schwachstellen auf
Handlungsstrategien entwickeln
 Gemeinsam prüfen wir, wie
identifizierte Security-
Schwachstellen geschlossen werden
können
 Gemeinsam erarbeiten wir ein
Konzept wie die Kosten bei einer
Compliance gerechten Lizensierung
minimiert werden können
Unser Angebot für Sie besteht aus drei Säulen.
Wir arbeiten eng mit Ihnen zusammen damit das beste Ergebnis erzielt werden kann!
Kunde + Kunde +

VORGEFERTIGTE „DREHBÜCHER“/ABLAUFPLÄNE
FÜR COMPLIANCE- UND SECURITY-BEARBEITUNG
 Compliance / Kostenoptimierung  Security / Versionsupgrades

UNSER ANGEBOT FÜR SIE
Datenerfassung
 Sie sammeln die Daten mit dem
Scanner-Tool ihrer Wahl
 Wir beraten Sie bei der
zielgerichteten Erhebung der Daten
 Wir prüfen laufend die Qualität der
entstehenden Daten
Datenauswertung
 Wir werten die von Ihnen
gesammelten Daten aus
 Wir ermitteln die benötigten
Lizenzen um die Oracle JDKs zu
lizensieren
 Wir berechnen die daraus
resultierenden Kosten
 Wir zeigen Securit-
Schwachstellen auf
Handlungsstrategien entwickeln
 Gemeinsam prüfen wir, wie
identifizierte Security-
Schwachstellen geschlossen werden
können
 Gemeinsam erarbeiten wir ein
Konzept wie die Kosten bei einer
Compliance gerechten Lizensierung
minimiert werden können
Unser Angebot für Sie besteht aus drei Säulen.
Wir arbeiten eng mit Ihnen zusammen damit das beste Ergebnis erzielt werden kann!
Kunde + Kunde +

IHRE FRAGEN
 vorab gestellte Fragen aus den Anmeldungen
 Im Webcast gestellte Fragen
7

DIE FRAGEN AUS DEN ANMELDUNGEN
 FreeJDK?
 Können wenige kostenpflichtige Oracle Java Lizenzen für Client PCs/User neben kostenfreien
Oracle Java Versionen genutzt werden?
 Alternative für Java Web Start?
 Wie gehen wir mit unseren Java Installationen zukünftig um?
 Wie wird Java bei Collaboration Software, wie Confluence und Jira zukünftig lizensiert?
 Was muss ich beachten, bei einer Umstellung von Oracle Java zu openJDK?

DIE FRAGEN AUS DEM CHAT
 …

KONTAKTDATEN
Michael Paege
Senior Manager Cloud & Compliance
OPITZ CONSULTING Deutschland GmbH
Standort Hamburg
Landwehr 2
22087 Hamburg
Tel.: +49 40 741122 1322
Mobil: +49 172 9461961
michael.paege@opitz-consulting.com
Klaus Kramer
Solution Architect
Standort Essen
Lazarettstraße 15
22087 Hamburg
Tel.: +49 201 892994 1724
Mobil: +49 172 2048790
klaus.kramer@opitz-consulting.com
Igor Kuferstein
Senior Project Manager
Standort Essen
Lazarettstraße 15
22087 Hamburg
Tel.: +49 201 892994 1729
Mobil: +49 173 2673131
igor.kuferstein@opitz-consulting.com

OC|Webcast "Java heute" vom 28.09.2021

Weitere ähnliche Inhalte

Was ist angesagt? (20)

Ähnlich wie OC|Webcast "Java heute" vom 28.09.2021 (20)

Mehr von OPITZ CONSULTING Deutschland (19)

OC|Webcast "Java heute" vom 28.09.2021