Arahan Teras Platform Azul

Teras Platform Azul

Spesifikasi

• Nama Produk: Perisian Java
• Pengilang: Oracle
• Versi: SE
• Perjanjian Lesen: Terma dan Syarat Tanpa Yuran, Lesen Awam Umum GNU, Lesen Kod Binari Oracle, Rangkaian Teknologi Oracle

Maklumat Produk
Perisian Java dilengkapi dengan pelbagai program perjanjian lesen yang disediakan oleh Oracle, menawarkan tahap sokongan dan pilihan pelesenan yang berbeza.

Arahan Penggunaan Produk

• Eksploitasi dan Sokongan Keselamatan
  Adalah penting untuk mempunyai sokongan yang betul untuk perisian Java anda bagi mencegah eksploitasi keselamatan dan memastikan pematuhan terhadap peraturan. Pertimbangkan untuk membeliasinsokongan daripada penyedia JDK berlesen untuk menerima tampalan keselamatan, dokumentasi undang-undang dan jaminan pematuhan.
• Pilihan dan Kerumitan
  Apabila memilih pengedaran JDK, pertimbangkan dasar sokongan dan keserasian dengan versi Java yang berbeza. Nilaikan pelbagai pembekal berdasarkan versi Java yang mereka sokong, platform yang mereka serasi dan tempoh sokongan untuk setiap versi.
• Versi Java
  Pastikan pembekal JDK menyokong versi Java yang anda gunakan atau bercadang untuk digunakan. Semak versi Sokongan Jangka Panjang (LTS) dan ketersediaan kemas kini untuk versi lama.
• Platform yang Disokong
  Sahkan sama ada pengedaran JDK menyokong sistem pengendalian dan pemproses yang digunakan dalam persekitaran anda. Keserasian dengan platform arus perdana seperti Linux dan Windows adalah penting.
• Tempoh Sokongan
  Tentukan berapa lama versi Java tertentu akan disokong oleh pembekal. Pertimbangkan peta jalan kitaran hayat sokongan yang disediakan oleh pengedar JDK.
• Kemas kini Ketersediaan
  Semak kekerapan kemas kini yang dikeluarkan oleh pembekal JDK untuk memastikan pembetulan tepat pada masanya untuk sebarang kelemahan atau isu dalam perisian Java.

PENGENALAN

• Selama setengah abad, dunia sumber terbuka telah membolehkan pembangun perisian membuat kemajuan yang ketara dalam membina aplikasi perisian dengan sedikit atau tanpa kos kepada mereka secara peribadi. Ini telah membolehkan gelombang pasang surut produktiviti dalam pembangunan aplikasi perisian, terutamanya dalam kalangan komersial. Untuk example, Java, sumber terbuka sejak 2007, ialah bahasa nombor satu untuk pembangunan keseluruhan hari ini, dengan lebih daripada 60 bilion Java Maya aktif
• Mesin (JVM) dan 38 bilion JVM berasaskan awan (Sumber: JavaOne 2022).
• Walau bagaimanapun, pada masa yang sama, organisasi IT perlahan-lahan menyedari bahawa ia tidak datang dengan "kos operasi sifar dalam pengeluaran."
• Pada asasnya, kos operasi datang daripada tiga sumber: penemuan keselamatan dan kelemahan, isu pematuhan dan kebimbangan harta intelek.
• Kos operasi lain muncul dalam bentuk kemas kini keselamatan, seperti kerentanan kritikal Log4j yang mengejutkan semua orang pada tahun 2021. Menampal kelemahan dan/atau mengemas kini perisian asas jelas merupakan usaha bukan sifar kos, tetapi organisasi masih terlalu kerap terkejut dengan harga yang tinggi. tag, terutamanya apabila mereka memerlukan penyedia tindanan Java mereka untuk menghasilkan keluaran segera untuk membetulkan kecacatan. Pada Ogos 2022, untuk exampKemudian, binaan baharu telah dikeluarkan untuk JDK 8 untuk menghapuskan kemungkinan ranap sistem yang telah diperkenalkan dengan kemas kini Julai (OpenJDK 8u342).
• Selain kos untuk membetulkan kecacatan, organisasi juga meningkatkanasindengan mudah menghadapi perbelanjaan pematuhan. Dalam banyak kes, ini termasuk ganti rugi, "pintu letupan" yang sah yang melindungi daripada akibat undang-undang kegagalan huluan. Ramai pelanggan dan rakan kongsi menuntut pintu letupan ini dengan lebih kerap. Memberikan bukti yang diperlukan bahawa pelanggan atau rakan kongsi dilindungi daripada sebarang isu yang timbul daripada tindanan Java boleh memperkenalkan kos yang tidak dijangka (dan ketara) yang menyimpang daripada keseluruhan konsep "percuma." Isu ini hanya berlipat ganda dalam kerumitan dan kebimbangan apabila penyedia huluan yang sama (seperti Oracle) secara unilateral mengubah kos pelesenan sokongan mereka.
• Hari ini Oracle mempunyai empat program perjanjian lesen aktif untuk Oracle Java SE: Terma dan Syarat Tanpa Bayaran (NFTC); Lesen Awam Am GNU, versi 2 dengan Pengecualian Classpath (GPLv2+CPE); Lesen Kod Perduaan Oracle; dan lesen Rangkaian Teknologi Oracle (OTN). Untuk konteks, pelanggan Azul Platform Core biasanya membayar 70% kurang daripada yang mereka bayar untuk Oracle Java SE.

EKSPLOIT KESELAMATAN

• Ia adalah fakta yang tidak dapat dielakkan: Pepijat berlaku. Pangkalan kod OpenJDK mencatatkan lebih daripada 7 juta baris kod, dan banyak perpustakaan luaran (semuanya boleh mempunyai pepijat!). Jurutera yang bekerja pada platform Java, kedua-duanya di Oracle dan syarikat lain, adalah antara pembangun terbaik di dunia, dan melalui beberapa ujian paling ketat di luar NASA, namun pepijat masih muncul. Sesetengah pepijat ini ialah kelemahan keselamatan, dan selalunya satu atau lebih daripadanya dinilai sebagai berisiko tinggi atau kritikal, bermakna ia mewakili "lubang" yang ketara dalam fabrik IT syarikat. Ia tidak biasa, tetapi sehingga penulisan ini, 13 daripada 23 keluaran Java sejak Oracle berhenti menyediakan sokongan percuma mempunyai satu atau lebih kerentanan berisiko tinggi atau kritikal.
• Jika anda mempunyai aplikasi yang dijalankan pada Java 6, keluaran itu mempunyai senarai lebih 400 kelemahan yang diketahui, 89 daripadanya adalah kritikal. Nombor tersebut tidak akan pernah berkurangan – keluaran percuma terakhir Oracle bagi Java 6 adalah pada April 2013. Bolehkah syarikat anda mampu menjalankan aplikasi anda dengan lebih 400 vektor serangan yang diketahui?

Dalam kertas putih ini, kami akan mengkaji beberapa kos tersembunyi untuk mengendalikan Java dalam tetapan pengeluaran:

1. Sokongan
2. Pelesenan OpenJDK
3. Berpindah dari satu versi JDK ke versi lain
4. Mengekalkan Jawa
5. Mematuhi peraturan

Sokongan Java komersial berbayar adalah seperti insurans kereta dan tali pinggang keledar. Dan, seperti insurans dan tali pinggang keledar, sokongan komersial Java berbayar hanya membuahkan hasil apabila berlaku insiden, yang hampir selalu tiba-tiba, tidak dijangka dan mahal. Walaupun menggoda, berjalan dengan Java yang tidak disokong dalam pengeluaran adalah berisiko.

PEMBELIAN APAASINKARUN SOKONGAN G
Apabila anda membeli sokongan daripada pembekal JDK berlesen, anda mendapat tiga elemen kritikal perisian yang selamat dan berkesan:

1. Tampalan keselamatan dan kemas kini untuk menghalang perisian anda daripada mendedahkan data pelanggan anda.
2. Dokumentasi undang-undang yang pada dasarnya mengisytiharkan bahawa anda mematuhi tuntutan kawal selia industri,
3. Jaminan bahawa perisian anda selamat mengikut undang-undang IP, tanpa perlu memberikan kod sumber anda.

Kos Sokongan

• Pengedaran JDK yang berbeza mempunyai dasar sokongan varian yang meluas
• OpenJDK ialah projek sumber terbuka. Sesiapa sahaja bebas memuat turun kod sumber untuk versi khusus Java Development Kit (JDK) dan menyusun semua bahagian JDK untuk platform arus perdana seperti Windows yang dijalankan pada pemproses Intel 64-bit. Boleh laku dan perpustakaan ini boleh dibungkus dan disediakan sebagai pengedaran OpenJDK, dan terdapat banyak pengedaran berbeza yang tersedia. Anda mempunyai pilihan penyedia — daripada percuma dan tidak disokong kepada penyedia komersial yang menawarkan semua sokongan Oracle Java SE dan banyak lagi.

DENGAN PILIHAN ADALAH KOMPLEKSITAS
Oleh kerana terdapat banyak penyedia OpenJDK yang mematuhi Kit Keserasian Teknologi (TCK), menilai satu daripada yang lain boleh menjadi mencabar. Beberapa pertimbangan antara penyedia yang berbeza boleh termasuk:

MANAKAH VERSI JAVA YANG DISOKONG?
Sehingga Mac 2025, terdapat empat versi Sokongan Jangka Panjang (LTS) Java antara lebih daripada 20 keseluruhannya. Sangat mudah untuk mencari sokongan untuk keluaran LTS terkini, Java 21, tetapi semakin jauh anda pergi, semakin sedikit penyedia yang ada untuk menyokong versi yang lebih lama. Oracle menamatkan sokongan percuma untuk versi LTS sebelumnya, Java 17, pada Oktober 2024. Hanya dua pembekal menyokong Java 6 dan Java 7.

PLATFORM MANAKAH YANG DISOKONG?
Kebanyakan pengguna menjalankan aplikasi pada sistem pengendalian arus perdana seperti Linux dan Windows dan menggunakan pemproses biasa seperti daripada Intel dan AMD. Jika persekitaran anda termasuk platform yang kurang biasa seperti pemproses berasaskan ARM, atau mungkin anda masih menjalankan aplikasi Java pada sistem pengendalian Solaris, anda harus tahu sama ada pengedaran menyediakan binaan untuk mereka dan sama ada ia terus memberikan pembetulan?

Lihat Pelan Hala Tuju Kitaran Hayat Sokongan Azul

BERAPA LAMA VERSI AKAN DISOKONG?

• Walaupun dalam kalangan versi LTS, pengedaran berbeza mungkin menawarkan pelbagai penyelenggaraan dan panjang sokongan. Jika rancangan anda ingin memastikan versi semasa berjalan selama 10 tahun sebelum membuat sebarang perubahan pada kod, anda perlu memastikan bahawa anda mempunyai LTS untuk versi itu selama sekurang-kurangnya satu dekad. Sesetengah pengedaran juga mungkin komited untuk menyokong versi selepas mereka berhenti menyediakan kemas kini yang dijadualkan. Dalam fasa sokongan pasif ini, pengguna masih boleh melaporkan isu dan, jika perlu, penyedia binaan boleh menyediakan kemas kini khas yang mengandungi pembetulan.

BERAPA CEPAT KEMASKINI TERSEDIA?
Kemas kini JDK yang dijadualkan dibangunkan melalui projek OpenJDK dan disekat oleh Kumpulan Kerentanan OpenJDK sehingga tarikh dan masa yang telah dirancang sebelumnya. Sebelum melabur dalam pengedaran OpenJDK, anda harus mengetahui rekod prestasinya untuk menyediakan kemas kini dalam beberapa jam selepas penarikan balik embargo dan sama ada ia telah mengalami kelewatan yang lama pada masa lalu. Tanya jika ia mempunyai SLA yang menyatakan apabila kemas kini dijamin tersedia. Kepantasan kemas kini adalah penting kerana, selepas sekatan ditarik balik, butiran kelemahan keselamatan didedahkan kepada umum, memulakan perlumbaan terhadap masa. Orang jahat mula mengembangkan eksploitasi; dan jika kemas kini anda tidak tersedia untuk beberapa hari atau minggu, sistem anda berisiko.

ADAKAH KEMASKINI YANG STABIL TERSEDIA?
Oracle Java SE menyediakan dua format untuk setiap kemas kini:

1. Kemas Kini Patch Kritikal (CPU): kemas kini keselamatan yang stabil
2. Kemas Kini Set Patch (PSU): kemas kini penuh

Untuk mengekalkan tahap maksimum keselamatan JDK, kedua-duanya adalah penting. Apabila Oracle mengeluarkan tampalan untuk kelemahan yang diketahui, organisasi anda boleh melaksanakan CPU dengan cepat untuk menampal kelemahan tersebut. Jika semua yang anda ada ialah PSU, anda perlu melaksanakan keseluruhan kemas kini, yang memakan masa, intensif sumber dan memerlukan ujian regresi. Hanya Oracle dan Azul yang menyediakan CPU.

Walaupun dengan pematuhan TCK, sesetengah pengguna Java masih berasa tidak selesa dengan apa-apa selain sokongan Oracle Java, yang mahal. Pelanggan Azul Platform Core biasanya menjimatkan 70% berbanding Oracle Java SE. Selalunya pengguna bertanya soalan seperti:

• Adakah saya akan kehilangan fungsi jika saya bertukar? Ini bergantung pada versi Java yang anda gunakan; semakin terbaharu, semakin kecil kemungkinan anda akan kehilangan sebarang fungsi yang bertukar daripada satu JDK ke JDK yang lain, atau daripada satu versi JDK kepada versi yang lebih baru.
• Dari JDK 11 dan seterusnya, Oracle JDK hanya menggunakan kod sumber yang disertakan dalam repositori OpenJDK yang berkaitan, tetapi sebelum itu, Oracle turut menyertakan beberapa ciri bukan sumber terbuka yang merumitkan pelesenan. (Bagi yang ingin tahu, ciri ini hampir semuanya dikaitkan dengan aplikasi desktop dan teknologi penggunaan, dua daripadanya ialah pemalam penyemak imbas Java, yang diperlukan untuk menjalankan applet dalam penyemak imbas, dan Java Web Mula, yang membantu menggunakan aplikasi ke desktop melalui Web.)
• Apakah risiko regresi saya apabila menggunakan alternatif kepada Oracle? Dengan syarat pengedaran OpenJDK yang anda pilih dibina daripada kod sumber OpenJDK dan diuji TCK, pada asasnya terdapat kemungkinan sifar regresi berfungsi yang dibuat dengan menukar satu pengedaran dengan yang lain. Aplikasi tidak akan bertindak secara berbeza apabila berjalan pada alternatif Oracle JDK.
• Adakah saya perlu beralih ke versi Java JDK terkini? Semua pengedaran OpenJDK menyediakan penyelenggaraan lanjutan untuk versi LTS Java dalam bentuk kemas kini. Berapa lama kemas kini ini akan terus dihantar bergantung pada pengedaran. Jika anda menggunakan versi lama JDK yang masih dikekalkan, aplikasi anda akan terus menerima tahap keselamatan dan kestabilan maksimum daripada masa jalannya. Tidak perlu mengemas kini kepada versi Java terkini. (Anda mungkin *mahu*, untuk mengambil advantage ciri terbaharu dan terhebat, tetapi anda tidak *perlu* melakukannya.)
• Adakah saya perlu menulis semula atau mengubah suai kod aplikasi saya? Tidak perlu menyusun semula kod apabila menukar pengedaran OpenJDK. Oleh itu, dengan lanjutan, tidak perlu mengubah suai atau menulis semula sebarang kod aplikasi selagi versi Java bagi kedua-dua pengedaran adalah sama.

Kos Pelesenan OpenJDK

Review perjanjian lesen anda dengan teliti

• Bagi sesetengah orang, langganan sokongan adalah seperti membeli polisi insurans yang melindungi daripada bencana. Bagi yang lain, ini adalah perkhidmatan nasihat yang menjimatkan masa pembangunan dan pasukan aplikasi. Dan bagi yang lain, ia adalah perlindungan harta intelek dan jaminan operasi. Tanpa mengira rasional pilihan anda untuk menyokong kod Java dalam fabrik IT anda, mempunyai sokongan selalunya merupakan perbezaan antara CTO yang gembira dan yang sengsara.

Untuk sokongan penuh dan ketenangan fikiran, ingatlah beberapa perkara semasa anda memilih rakan kongsi Java anda:

CPU ADALAH PENTING
Kemas kini suku tahunan atau tampung keselamatan rawak tidak mencukupi. Pembetulan keselamatan mesti dihantar secepat mungkin setelah kelemahan keselamatan diterbitkan. Pembetulan di luar kitaran juga penting. Dan pembekal anda harus sentiasa dapat menyediakan CPU, kemas kini keselamatan sahaja yang dibincangkan sebelum ini, berbanding keluaran PSU OpenJDK, yang bukan sahaja menyertakan pembetulan pepijat tertentu tetapi semua kerja yang dilakukan dalam 90 hari sebelum keluaran–yang seterusnya boleh mengandungi ciri baharu, pembetulan pepijat bukan keselamatan atau tidak kritikal, dan (kadangkala) satu set pepijat yang baharu. Ingat, hanya Oracle dan Azul yang menyediakan CPU.

BERKESAN TERHADAP SLA UNTUK KEMASKINI KESELAMATAN

• Binaan yang stabil mesti digunakan dengan pantas ke dalam persekitaran pengeluaran anda. Pembekal OpenJDK anda harus mempunyai rekod kejayaan yang menyokong tuntutan keselamatan dan kestabilannya. Dalam keluaran PSU Julai di atas, banyak sistem kritikal misi pengguna OpenJDK terpaksa merendahkan prestasi untuk mengurangkan risiko. Jika vendor Java anda tidak menyediakan keluaran spot untuk pepijat kritikal dan kelemahan keselamatan, sistem anda mungkin berisiko selama beberapa hari–mungkin juga minggu–setiap suku tahun.

LANGGANAN ANDA TIDAK PERLU MEMBAWA RISIKO TAMBAHAN
Perduaan pembekal OpenJDK anda harus disahkan mematuhi spesifikasi Java SE menggunakan TCK yang dilesenkan daripada Oracle. Rakan kongsi anda juga perlu menandatangani perjanjian OCTLA untuk sekurang-kurangnya Java 8 dan 9+. Pembekal anda juga mesti memberikan jaminan bahawa kelas Java dan API tidak tercemar.

PENYEDIA SOKONGAN JAVA ANDA MESTI MENYOKONG KESELURUHAN KAWASAN PERMUKAAN JAWA ANDA.
Mereka seharusnya dapat menyokong Java anda di mana-mana sahaja anda memilikinya, tidak kira sistem pengendalian atau versi, sama ada ia di hadapan, pada mesin maya atau dalam awan. Mereka perlu mempunyai pengetahuan lama, mendalam tentang Java, dan pelbagai kemahiran untuk menyokong keperluan Java heterogen organisasi anda.

SOKONGAN HENDAKLAH SENTIASA DISEDIAKAN APABILA ANDA MEMERLUKANNYA 
Anda sepatutnya boleh menghubungi pasukan sokongan anda dengan mudah, walaupun pada hujung minggu dan cuti umum, tanpa mengira zon waktu anda. Lagipun, dengan mudah adalah satu-satunya cara anda boleh benar-benar bergantung pada pengalaman, dedikasi dan pengetahuan pakar rakan kongsi Java anda.

CARI PENYEDIA YANG MINAT TENTANG JAVA
Pembekal Java anda harus komited terhadap pertumbuhan dan kejayaan platform secara keseluruhan. Kakitangan sokongan yang tidak menggunakan kod yang membentuk platform Java perlu meningkatkan sebarang isu yang menyimpang daripada skrip sokongan. Dalam krisis, apabila setiap detik penting, penangguhan boleh menjadi bencana.

Kira penjimatan lesen anda apabila anda bertukar daripada Oracle Java SE

• Azul telah membimbing evolusi teknologi Java sejak 2011 apabila ia pertama kali dipilih sebagai Jawatankuasa Eksekutif Proses Komuniti Java (JCP). Azul juga berada dalam Kumpulan Pakar untuk Permintaan Spesifikasi Java (JSR) bagi semua versi Java sejak JDK9. Azul juga Memulakan dan menaja platform komuniti neutral vendor Foojay.io, untuk rakan OpenJDK, menghimpunkan komuniti pengguna OpenJDK di seluruh dunia.

Kos Migrasi

Ia tidak seteruk yang Oracle beritahu anda

• Apabila organisasi mempertimbangkan untuk berpindah dari satu JDK ke JDK yang lain, mereka sentiasa bertanya, "Adakah aplikasi saya akan berjalan, tidak berubah, jika saya membawa kod saya ke JDK baharu?" Penyedia JDK tertentu telah membayangkan bahawa kod yang berjalan pada pelaksanaan mereka mungkin tidak dilaksanakan dengan betul pada pelaksanaan lain, membayangkan bahawa anda lebih baik membayar yuran lesen mereka yang tinggi daripada beralih kepada pengedaran yang lebih murah.
• Oleh itu, betapa bertuahnya bahawa terdapat cara yang boleh diukur dan boleh ditentukan untuk menentukan sama ada pelaksanaan adalah 100% serasi dengan spesifikasi yang ditetapkan bagi Edisi Standard Java.
• Azul mempunyai 100% kadar kejayaan memindahkan organisasi daripada pengedaran Java yang lain, terima kasih kepada proses pemindahan tiga fasanya. Timbalan CTO Azul Simon Ritter secara literal menulis buku di atasnya. Baca OpenJDK Migration for Dummies.

KIT KESESUAIAN TEKNOLOGI (TCK)

• TCK dicipta untuk memastikan keserasian antara pelaksanaan spesifikasi Java yang berbeza. Ia adalah penting untuk kemudahalihan Java — untuk menyampaikan janji "tulis sekali, jalankan di mana-mana". TCK memberikan tahap keyakinan yang tinggi bahawa aplikasi yang berjalan pada satu pengedaran yang diuji TCK akan berjalan dengan cara yang sama pada pengedaran lain yang juga telah melepasi set ujian TCK. Untuk memanggil TCK komprehensif adalah satu kenyataan yang remeh: Untuk menjadi pengganti drop-in untuk Oracle JDK, penyedia OpenJDK mesti lulus lebih daripada 120,000 ujian. Jika JDK baharu mempunyai dan menggunakan pemasang automatik, semua aplikasi yang menggunakan JDK lalai akan secara automatik mengambil JDK baharu (iaitu tidak menukar PATH).
• Dalam kebanyakan kes, anda boleh memasang JDK gantian drop-in dalam masa lima minit. Anda tidak perlu mengubah suai kod sumber atau menyusun semula aplikasi anda. Langkah-langkahnya adalah serupa dengan memasang kemas kini untuk Oracle JDK.

PERTIMBANGAN LAIN
Perlu diingat bahawa walaupun TCK memastikan keserasian antara pelaksanaan Java, ia tidak selalu memberikan jawapan yang jelas tentang isu di luar keserasian. Untuk exampKemudian, sedekad yang lalu organisasi perusahaan berhadapan dengan peralihan yang perlahan tetapi tetap dalam alatan pengkomputeran, dalam bentuk peralihan dalam reka bentuk CPU daripada "lebih pantas" kepada "lebih" — khususnya, kebangkitan CPU "berbilang teras", yang membawa kepada lajur Herb Sutter yang terkenal sekarang tentang peralihan itu, bertajuk, The Free Lunch is Over: A Fundamental Turn Towards Concurrency.

• Peralihan yang sama berlaku apabila pengeluar CPU mula menghasilkan cip 64-bit dalam jumlah yang lebih besar, dan anjakan yang sama berlaku walaupun sekarang apabila industri mula mempertimbangkan siri ARM CPU melalui barisan Intel x86/x64.
• Dalam setiap kes ini, organisasi IT perlu menilai kesan daripada tidak melakukan migrasi. Jika, untuk example, organisasi IT enggan beralih daripada platform Java 32-bit, ia berhadapan dengan had sedia ada (dan tidak boleh dipecahkan) sebanyak 2GB memori yang tersedia untuk proses Java. Apabila mempertimbangkan untuk berhijrah daripada Intel kepada CPU ARM, untuk mana-mana bahagian aplikasi Java yang melaksanakan kod asli (paling kerap dilihat dalam persekitaran bukan awan), organisasi mesti memastikan bahawa kod asli tersedia untuk pemproses ARM, yang mungkin memerlukan penyusunan semula aset asli tersebut.
• Walau bagaimanapun, ambil perhatian dengan teliti bahawa setiap pertimbangan ini adalah sekitar kebimbangan yang terletak di luar platform Java itu sendiri. Penggunaan TCK memastikan organisasi yang menggunakan Java bahawa kod Java mereka, sekurang-kurangnya, akan melaksanakan dan berkelakuan dengan cara yang sama merentas platform, tanpa mengira saiz, nombor atau gaya reka bentuk CPUnya.

IMPLIKASI

• Bagi organisasi yang menghadapi penghijrahan (secara sukarela atau sebaliknya), kehadiran TCK menawarkan berita hebat, kerana ia menghilangkan banyak kebimbangan dan kebimbangan. Jika aplikasi ditulis sepenuhnya dalam Java, tanpa kebimbangan mengenai persekitaran di luar JVM (termasuk tetapi tidak terhad kepada fileorganisasi sistem), maka aplikasi itu dijamin–oleh TCK–setara 100% dari segi tingkah laku pada mana-mana platform yang mematuhi TCK.
• Lebih realistik, kerana kebanyakan aplikasi bergantung pada ciri-ciri tertentu persekitaran di luar platform Java (seperti organisasi filesistem), organisasi mungkin perlu meluangkan sedikit masa untuk menguji kelakuan aplikasi apabila memindahkan konteks sekeliling itu, seperti menukar sistem pengendalian. Tetapi kerana TCK menjamin gelagat yang sama bagi aplikasi Java merentas platform yang mematuhi TCK, ujian yang kini dihadapi oleh organisasi adalah di "tepi" aplikasi, di mana ia berinteraksi dengan persekitaran sekeliling itu. Ini, mengikut definisi, pengurangan dalam kerja yang diperlukan; dalam amalan, ia adalah pengurangan yang ketara.

KES TEPI
Sebelum JDK 11, Oracle (dan Sun Microsystems) JDK menyertakan ciri yang tidak disertakan dalam projek teras OpenJDK. Berhati-hati dengan teknologi Oracle lama yang telah ditamatkan dalam versi Java yang lebih terkini:

• Applet JavaFX
• Jawa Web Mulakan

Azul ialah salah satu daripada beberapa pengedar OpenJDK yang masih menyediakan binaan dengan JavaFX disertakan, memastikan gabungan OpenJDK dan OpenJFX serasi sepenuhnya. Anda boleh menemuinya sebagai jenis pakej "JDK FX" pada Muat Turun Azul. Anda boleh memuat turun Sokongan Jangka Panjang versi 8, 11, 17 dan 21 serta Sokongan Jangka Pendek versi 23.

• Lihat berapa lama migrasi daripada Oracle Java SE biasanya mengambil masa

Oracle akan menamatkan sokongan untuk JavaFX dalam JDK 8 pada Mac 2025 dan berhenti menyediakan binaan Java 8 dengan OpenJFX disertakan. Ini bermakna bahawa dari kemas kini keselamatan pertama pada bulan April dan seterusnya, Oracle JDK 8 tidak lagi tersedia dengan JavaFX yang disertakan. Risikonya teruk:

• Binaan CI/CD anda akan gagal kerana versi Oracle JDK 8 baharu tidak lagi menyokong JavaFX.
• Anda tidak boleh membetulkan binaan yang gagal ini kerana JavaFX 8 tidak lagi dikekalkan sebagai projek sumber terbuka dan tiada muat turun berasingan tersedia.
• Jika anda memutuskan untuk berpegang pada pakej Oracle Java 8 keluaran terbaru dengan JavaFX, sistem anda akan terdedah kepada CVE, kerana tiada keluaran baharu dengan pembetulan akan tersedia. Perkara yang sama berlaku untuk pembetulan pepijat dalam Java dan JavaFX untuk versi itu.

Kos Penyelenggaraan

Kemas kini suku tahunan dengan CPU

• Kemas kini PSU telah memperkenalkan bilangan regresi baharu yang tidak selesa kepada JDK, yang memerlukan kemas kini di luar sempadan. Ini tidak mengapa jika aplikasi yang terjejas adalah perkara biasa (seperti Hadoop Cluster pada Julai 2022), tetapi apakah yang berlaku jika satu-satunya aplikasi yang terjejas adalah milik anda?(1) Anda tidak boleh memasang PSU kerana ia akan memecahkan aplikasi anda. (2) Jika kemas kini menangani kerentanan kritikal, anda membiarkan diri anda terdedah melainkan anda mempunyai akses kepada CPU, yang anda tidak lakukan jika anda menggunakan Java percuma (atau mana-mana pengedaran di luar Oracle dan Azul). Memandangkan permohonan anda adalah satu-satunya yang terjejas, tiada jaminan bila (atau walaupun) masalah ini akan diselesaikan dalam OpenJDK. (3) Anda boleh melaporkannya sebagai pepijat, tetapi ia tidak akan mendapat keutamaan. Ini boleh menyebabkan sama ada masa henti aplikasi anda dilanjutkan atau kemungkinan pelanggaran data atau serangan DOS. Mana-mana daripada tiga senario ini datang dengan kos yang mungkin tidak terhad kepada organisasi anda: kekurangan hasil, kos pengurangan, kerosakan reputasi dan pengurangan pelanggan.
• Projek OpenJDK mengeluarkan kemas kini empat kali setahun, pada hari Selasa ketiga Januari, April, Julai dan Oktober. Perubahan digunakan terus pada versi Java semasa pada masa itu serta pada versi LTS semasa. Sesiapa sahaja boleh memuat turun kod sumber OpenJDK dan membina JDK mereka sendiri yang dikemas kini, dan ia akan sentiasa terkini dengan tampung keselamatan, pembetulan pepijat dan peningkatan. Malangnya, membina JDK yang dikemas kini tidak realistik untuk kebanyakan organisasi.

Tanpa sokongan Java komersial, organisasi anda menghadapi risiko yang serius:

• Tiada jaminan keselamatan atau sokongan
• Tiada sokongan komersial untuk Java 6 dan 7, tetapi kebanyakan vendor OpenJDK juga tidak menyediakannya
• Tiada CPU
• Tiada pembetulan luar kitaran untuk kelemahan baharu
• Kekurangan kepakaran di pelupusan anda

Walaupun dengan Oracle, anda tidak akan mendapat sokongan komersial berbayar untuk Java 6 atau 7.

MASA JURUTERA BUKAN PERCUMA
Jika kerentanan atau pendedahan biasa (CVE) baharu diumumkan dan organisasi anda tidak menerima CPU, anda mempunyai beberapa pilihan, tiada satu pun daripadanya yang baik:

• Jangan lakukan apa-apa dan harap CVE tidak dieksploitasi
• Tunggu PSU dan laksanakannya, dengan harapan CVE tidak dieksploitasi dalam masa yang sama. Luangkan masa kejuruteraan untuk menggunakan pembetulan secara manual
• Apabila kelemahan Log4Shell ditemui dalam pustaka Log4j pada Disember 2021, organisasi tergesa-gesa mencari versi yang terdedah dan menambalnya. Tanpa tampung, organisasi terpaksa berharap CVE tidak dieksploitasi atau berhenti menggunakan salah satu perpustakaan yang paling banyak digunakan di Jawa. Kesan kritikal dalam perisai ialah banyak organisasi terus memperkenalkan semula versi yang dijangkiti secara tidak sengaja.
• Apabila sesuatu yang buruk berlaku, anda membayar untuk jurutera anda untuk menyelesaikan masalah dan untuk tidak melakukan tugas teras mereka membina ciri baharu untuk pelanggan anda.

RODA HAMSTER JAWA NAIK TARAF

• Jika anda menikmati sokongan komersial Oracle Java dan ingin terus menggunakannya tanpa membayarnya, anda boleh, tetapi anda mesti terus meningkatkan versi Java anda. Versi LTS terbaharu adalah percuma, tetapi versi LTS sebelumnya tidak mendapat sokongan percuma setahun selepas versi LTS baharu dikeluarkan.

Bandingkan Teras Platform Azul dengan pengedaran OpenJDK percuma

Azul Vulnerability Detection, ciri Azul Intelligence Cloud, menyediakan empat faedah untuk membantu meningkatkan kecekapan DevOps:

• Menggunakan maklumat unik daripada JVM untuk menghapuskan positif palsu dan mengutamakan tunggakan untuk memberi tumpuan kepada kod terdedah yang digunakan.
• Mengesan secara berterusan apakah kelemahan kritikal baharu yang telah digunakan dalam pengeluaran dan di mana, menjimatkan masa dan meminimumkan gangguan daripada peristiwa seperti penemuan Log4Shell.
• Menunjukkan kod yang berjalan dalam pengeluaran supaya DevOps boleh mengenal pasti dan mengalih keluar kod yang tidak berfungsi dengan mudah, mengurangkan beban untuk mengekalkan dan menaik taraf kod yang tidak digunakan.
• Mengekalkan sejarah penggunaan kod, membolehkan usaha forensik tertumpu untuk menentukan sama ada kod terdedah telah dieksploitasi sebelum dikenali sebagai terdedah.

Memastikan Pematuhan Peraturan

Pelanggaran boleh dikenakan denda dan kerosakan reputasi

• Mungkin semua kelemahan tersebut tidak mencetuskan kebimbangan terhadap kesihatan dan keselamatan aplikasi anda. Pelanggan anda mungkin berasa berbeza, terutamanya dalam industri sensitif seperti penjagaan kesihatan, kewangan, kerajaan, hospitaliti, runcit dan pengangkutan. Banyak industri memerlukan rakan kongsi, pembekal dan penyedia untuk menyediakan dokumentasi secara aktif bahawa mereka mematuhi peraturan yang ketat. Mesej pada blog syarikat anda bahawa "CVE-123456 tidak sepatutnya menjadi ancaman kepada kami" tidak menenangkan pemimpin perniagaan dan anda mesti menunjukkan secara terbuka bahawa syarikat anda mengambil semua langkah yang munasabah untuk memastikan penyerang tidak dapat mengeksploitasi kelemahan dalam kod anda. Senarai peraturan yang sangat kecil untuk diingat termasuk:

AMERIKA UTARA
Arahan Agensi Keselamatan Siber dan Infrastruktur (CISA) berfungsi untuk melindungi sektor infrastruktur kritikal, termasuk institusi kewangan, daripada ancaman siber.

• Penalti: Penalti sivil seperti denda dan pertuduhan jenayah

Akta Mudah Alih dan Akauntabiliti Insurans Kesihatan (HIPAA) melindungi privasi maklumat kesihatan pesakit.

• Penalti: denda sehingga $50,000 dan penjara sehingga setahun

EROPAH
Cyber ​​Essentials direka untuk meyakinkan pelanggan bahawa anda sedang berusaha untuk melindungi IT anda daripada serangan siber.

Penalti: denda, tindakan undang-undang, dan sekatan peraturan

Peraturan Perlindungan Data Am (GDPR) ialah undang-undang perlindungan privasi dan keselamatan pengguna EU.

• Penalti: Denda sehingga €20 juta untuk individu dan sehingga 4% daripada pusing ganti global untuk perniagaan, serta penalti jenayah

Akta Ketahanan Operasi Digital (DORA) memperkukuh daya tahan sektor kewangan terhadap risiko operasi digital.

• Penalti: Penalti sehingga €1 juta untuk individu, dan denda sehingga 2% daripada perolehan tahunan, kesan pentadbiran, pembatalan lesen dan kemerosotan jenama untuk perniagaan

ASIA
Monetary Authority of Singapore (MAS) menyediakan garis panduan untuk sektor kewangan yang menumpukan pada tadbir urus IT, daya tahan siber dan kesinambungan operasi.

• Penalti: denda, penalti sivil, dan sabitan jenayah

Essential Eight menyediakan hala tuju yang disasarkan untuk mendapatkan teknologi.

• Penalti: Pensijilan diperlukan untuk membida kontrak kerajaan pusat yang melibatkan pengendalian PPI.

ISU HARTA INTELEK

• Di sebalik kebimbangan mengenai ancaman aktif dan serangan terhadap perisian anda, terdapat ancaman yang lebih halus, sama-sama berbahaya kepada syarikat anda. Undang-undang harta intelek (IP) telah menyaksikan peralihan tahap tektonik sepanjang setengah abad yang lalu apabila perisian sumber terbuka telah muncul sebagai kuasa utama dalam pembangunan perisian. Di mana 50 tahun yang lalu perisian bebas dan sumber terbuka adalah pemain yang sering diturunkan ke luar dalam perniagaan utama, pada tahun 2025 ia menjadi pusat kepada hampir setiap usaha, terutamanya jika anda menggunakan Java.
• Katakan anda menggunakan pustaka GNU Public Licensed (GPL) untuk menulis alat yang digunakan sebagai sebahagian daripada proses binaan anda. Adakah perisian anda diperlukan untuk mengisytiharkan dirinya GPL juga? Bagaimana jika anda menggunakan bahasa yang menggunakan perpustakaan yang ditulis menggunakan GPL? Adakah perisian anda kini perlu tersedia sumber untuk dimuat turun oleh sesiapa sahaja yang mengambil berat untuk berbuat demikian? Jika surat berhenti dan berhenti muncul dalam mel syarikat anda, menuntut anda mematuhi keperluan undang-undang GPL, bolehkah anda mematuhi tanpa memufliskan syarikat anda? Atau bolehkah anda membuktikan bahawa perisian anda tidak "tercemar" dalam harta inteleknya? Sebelum anda menjawab, anda harus tahu bahawa (1) JDK itu sendiri dibina dengan beberapa komponen GPL, dan (2) GPL mempunyai beberapa keperluan yang sangat khusus, termasuk apa-apa sahaja yang berlesen GPL mesti kekal berlesen sedemikian, dan oleh itu tersedia secara percuma oleh sesiapa sahaja yang mengambil berat untuk memuat turunnya.
• Untuk mengurangkan ancaman isu IP, anda memerlukan penyedia Java yang menyediakan akses kepada binaan khusus OpenJDK yang telah menjalani pensijilan dan pengesahan rasmi untuk memastikan bahawa memasukkan, membenamkan dan/atau mengedarkannya dalam produk anda tidak mencemarkan IP atau kod produk anda dengan keperluan lesen (termasuk tetapi tidak terhad kepada keperluan pendedahan kod sumber GPLv2).

Lihat peraturan pematuhan peraturan menegak

Kesimpulan

• JDK versi 6 dan 7, serta keluaran awal 8, adalah percuma untuk digunakan. Oracle masih menyokong JDK 8 secara komersial, tetapi tidak lagi menyokong JDK 6 dan 7, yang menjadikan mereka terdedah kepada risiko keselamatan. Kerentanan dan pendedahan biasa (CVE) telah ditemui secara berterusan di Java 6, yang mencapai akhir hayat pada Disember 2018, dan Java 7, yang mencapai penghujung hayat pada Julai 2022. Dengan sokongan komersial, pelanggan menerima tampung keselamatan yang melindungi versi Java yang lebih lama ini, serta Kemas Kini Tampung Kritikal (CPU) untuk pematuhan versi semasa yang membolehkan mereka memenuhi keperluan Java yang lebih baik.
• Fungsi sokongan komersial seperti insurans terhadap kemas kini yang tidak stabil (seperti kemas kini Crowdstrike yang menutup perniagaan di seluruh dunia pada Julai 2024). Sekiranya berlaku regresi dalam kemas kini JDK penuh, pelanggan Azul dilindungi — dengan andaian mereka memasang versi CPU dengan perubahan yang jauh lebih sedikit. (Secara sejarah, CPU Azul tidak terjejas oleh regresi berkala yang berlaku dalam kemas kini suku tahunan penuh) Jika pelanggan terjejas kerana mereka memasang kemas kini penuh, mereka boleh segera bertukar kepada CPU.
• Selain CPU, Azul (dan beberapa pembekal sokongan komersial lain) menawarkan SLA untuk kemas kini keselamatan dan akan menyediakan pembetulan kritikal di luar kitaran jika diperlukan.
• Apabila aplikasi perniagaan kritikal dijalankan di Java, sokongan komersial menjadi penting. Di luar pembetulan keselamatan yang tepat pada masanya dan pembetulan pepijat kritikal, akses kepada perkhidmatan kejuruteraan pakar yang diedarkan secara global adalah penting untuk analisis punca dan penyelesaian masalah yang berkaitan dengan Kit Pembangunan Java, Persekitaran Masa Jalan Java atau Mesin Maya Java.
• Sokongan komersial menggabungkan insurans dan penyelenggaraan dalam satu langganan, dan — dalam kes Azul — turut menawarkan perlindungan IP. Azul memperakui JDKnya terhadap pencemaran copyleft dan menanggung rugi pelanggan terhadap cabaran paten dan hak cipta.
• Memastikan keselamatan dan kestabilan aplikasi Java anda adalah penting untuk perniagaan yang bergantung pada Java. Dengan sokongan komersial daripada Azul, anda boleh melindungi pelaburan anda, memenuhi keperluan pematuhan dan mengurangkan risiko, sambil mendapat manfaat daripada perkhidmatan kejuruteraan pakar dan perlindungan IP yang komprehensif. Begitulah kes untuk sokongan komersial daripada Azul secara ringkas.

TENTANG AZUL

• Azul telah menyediakan binaan Zulu percuma OpenJDK kepada komuniti Java sejak 2014. Tawaran komersial Teras Platform Azul sedang digunakan dalam berpuluh-puluh juta pelayan dan peranti hari ini pada 36% daripada Fortune 100, 50% daripada 10 Jenama Paling Berharga Dunia Forbes, dan kesemua 10 daripada 10 syarikat perdagangan kewangan terbaik dunia.
• Tawaran sokongan bertaraf dunia Azul memberikan komitmen SLA yang ketat untuk kemas kini keselamatan tepat pada masanya dan pembetulan pepijat, serta sokongan untuk teknologi utama seperti Perakam Penerbangan dan Kawalan Misi untuk kedua-dua Java 8 dan 11. Dan Azul ialah satu-satunya vendor yang menawarkan sokongan untuk Java 6/7, serta perlindungan IP yang komprehensif dan ganti rugi.
• Untuk mendapatkan maklumat tambahan mengenai binaan Zulu bagi OpenJDK dan tawaran sokongan komersial, sila hubungi pakar OpenJDK Azul hari ini.

Hubungi Azul
385 Moffett Park Drive, Suite 115 Sunnyvale, CA

• 94089 USA +1.650.230.6500
• www.azul.com
• Hak Cipta © 2025 Azul Systems, Inc.

Soalan Lazim