دردسری به نام جاوا و فلش

کمتر کسی است که نداند فلش پلیر و یا ماشین مجازی جاوا نداشتن روی وب یعنی از دست دادن بخشی از محتوای آنلاین! در کنار این موضوع هر روز خبری در مورد حفره های امنیتی و همچنین ارایه وصله های امنیتی مداوم برای جاوا و فلش منتشر می شود. اما یک سوال؟ آیا این افزونه ها آنقدر ارزشمندند که نتوان بدون آنها دوام آورد؟ اگر لازم هستند چرا اینقدر نامطمئن هستند؟

خوب اول برویم سراغ فلش!

شاید وقتی سال 2007 جابز گفت که فلش در سیستم عامل آیفون جایی ندارد! همگان آن را تسویه حساب اپل با ادوبی (سابقاً ماکرومدیا فلش) دانستند. اما واقعیت این بود که فلش واقعاً علاوه مشکل امنیتی اساساً با توجه به وجود HTML5 یک جزء غیر ضروری بود. اکنون نیز دیگر این موضوع آنقدر روشن که نیازی به بحث ندارد که فلش به عنوان یک افزونه کاملاً قابل حذف است. حتی پخش ویدئوهای با کیفیت و حجم پایین که با فرمت flv معروف هستند نیز معادلهایی مانند webmv دارند که در کدهای توسعه وب به صورت مستقیم و بدون نیاز به فلش افزوده می شوند. مانند عکسها! به همین سادگی!

در مجموع باید گفت خود ادوبی هم میداند که فلش کارش تمام است و حتی ابزارهایی برای انجام کارهای مشابه اما در حمایت از html5 ارایه کرده است. در مجموع اگرچه هنوز فلش در برابر مرگ مقاومت می کند اما این کار خیلی طول نخواهد کشید. البته این مقاومت از طرف سازندگان صفحات وب است نه توان خود فلش!

اما ماشین مجازی جاوا!

جاوا به عنوان ماشین مجازی که از طرف سرور محتواهایی در قالب اپلت دریافت و اجرا کند ایده ای نسبتاً قدیمی است که حدس زده میشد مانند ActiveX های اینترنت اکسپلورر کم کم منسوخ شوند و راه حلهایی قابل کنترلتر و ایمنتر ارایه شوند اما اقلاً در یک دهه اخیر چنین اتفاقی رخ نداده است و علت آن هم ماهیت ماشین مجازی است. زبانهایی اسکریپت نویسی وب دارای محدودیتهایی در برابر زبانهای برنامه نویسی توسعه ای هستند که امکان به کارگیری آنها را در سمت کاربر محدود می کند. به علاوه در سمت کاربر چگونه میتوان چیزی را اجرا کرد؟ در سمت سرور داستانی متفاوت وجود دارد و در سمت کاربر داستانی دیگر! مشکل آنجا است که قرار باشد در سمت کاربر چیزی به صورت ایمن اجرا شود.

اگرچه کلاً راه حلهایی مانند افزودن اخطارهایی امنیتی و امضای دیجیتال تاییدیه برای جاوا اپلتها پیش بینی شده است اما کماکان این بخش از کار می لنگد. در واقع کماکان این امکان وجود دارد بدون تایید شما در حین بازدید از یک سایت ماشین مجازی جاوا کاری کند کارستان!!! کاری در مورد اپل و میکروسافت و فیسبوک انجام شد! همگی موارد هک کامپیوترهای داخلی این شرکتها ناشی از ضعف جاوا است که اکنون چند سالی است شرکت عظیمی مانند اوراکل آن را پشتیبانی می کند. اما بالاخره وقتی خشت اول کج است که کج است کاری نمی شود!

آیا اینقدر این شرکتها مبتدی اند؟

سوال مهمتر این است که آیا این شرکتها که مانند ادوبی و اوراکل غولهای نرم افزاری هستند آنقدر عرضه و توان ندارند که این مشکلات را حل کنند؟ پاسخ منفی است! البته این مشکل ذاتی این شرکتها نیست بلکه اساساً ایجاد کدهای ایمن بر پلتفرمهایی قدیمی مانند فلش و جاوا دارای تعریف و راهکارهایی مناسبی نیست. راه حل هم کاملاً مشخص است. باید دل کند از این افزونه ها! باید رفت به دنیای جدید! چیزی که توسعه دهندگان وب در برابر آن مقاومت میکنند.ش