РегистрацияЯ сегодня обнаружил ужасающий факт. Полные дистрибутивы SP3 для Windows XP скачиваются с сайта Майкрософт без цифровой подписи! Не похоже это на Майкрософт.
http://www.microsoft.com/downl.....4f3d4&displayLang=en#
http://www.microsoft.com/downl.....4f3d4&displayLang=ru
Отсуствие цифровой подписи скорее всего означает то, что файл был изменён по сравнению с оригинальным. Я вручную качаю браузером IE с сайта Майкрософт – и получаю вышеописанное.
Для того чтобы посмотреть цифровой сертификат экзешника в Виндовс, взгляните на свойства файла в Проводнике. Такие сертификаты есть, например, у исполняемых файлов с ежемесячными обновлениями.
Подписи отсутствуют на русской и английской версиях SP3 (другие не проверял). Сразу возникли мысли о подмене хоста или трафика к нему с помощью недавно опубликованных дыр в DNS или злонамеренного использования протокола BGP.
Возникла мысль об акции спецслужб. Наших.
Вот как у меня разрешается доменное имя:
Результат выполнения команды tracert:
C:\>tracert www.microsoft.com
А всегда были с подписью что ли? В майрософт-та? Так даже в мире opensorce-систем не везде. Например, в pkgsrc нет подписей для портов: проверяется лишь хэши, указанные в порте. Само же дерево портов также не подписано при скачивании. Однако(!), скачивание обычно идёт по ssh с доверенного хоста, ключи которого уже встроены в дистрибутив. Проблема же получения доверенного первого дистрибутива подписью в полной мере всё равно не решается: откуда у вас будет правильный публичный ключ подписавшего? А если сравниваться с соседями, то сравнить можно и хэши. Конечно, у подписи в данном случае были бы свои преимущества по ср. с хэшами, но не будем лезть в дебри...
комментариев: 9796 документов: 488 редакций: 5664
В более других opensource-системах используют подписи, так как имеются зеркала (можете своё поднять – удобно даже внутри локалки для организации), торренты и др., которые как раз разрешается взламывать и подменять троянами, поскольку из-за битой подписи такой файл никто не сможет установить – подписи проверяются автоматически.
Левые ключи с правами рута конечно можете сами добавить в отдельный конфиг для установки самопальных и недистрибутивных пакетов, если очень хочется.
А вот взломать доверенный сервер и украсть с него ssh ключ несколько проще или сделать этот сервер на время недоверенным.
Ну каждый последующий ключ подписан предыдущими, у каждого пакета свои ключи разработчиков, так что цепочка доверия получается нехилая. В абсолютном плане конечно, проблему доверия не решить.
Хэши более краткосрочны, а у ключа известных разработчиков свободного софта хоть как-то историю и взаимосвязи можно проследить. Граф построить, таблички распечатать, на стене повесить.
Ой, извините, счас вылезу :)
Возвращаясь к совсем более другой системе. В Вин уже как-то вполне себе рядовые люди получали сертификат на подставные документы, правда MSсофт утверждала, что это было выявлено и пресечено буквально за день.
А кто знает, как точно работает система проверки подписи в Win? Что пакет скачивается, система не находит подписи и даёт молча его установить, но при этом сообщает, что её нет? Вообще-то предупреждали, что там с системой апдейтов что-то невпорядке и теоретически можно найти эксплойт. Может уже нашли?
Вот только зачем каким-то могущественным организациям так палиться, когда они могут украсть ключ или сделать все как-то более по-тихому?
Кстати, возвращаясь всё-таки к дебрям, в Red Hat Linux, недавно кто-то (возможно инсайдер) украл ключ подписи пакетов и выложил подписанные протрояненные версии openssh на их серверы (взломанные?). Руководство Рэд Хата этот факт разумеется признало, ключи сменило, но о подробностях инцидента подозрительно умолчало.
Подробные отчёты о взломах публикует только Debian.
Что вы ждёте в подобной ситуации от MSсофт?
Скачайте этот файл по другим каналам. Сравните с другими людьми. Сохраните как пробу на допинг у спортсменов :-)
Такие цифровые подписи (заверенные корневым сертификатом Майкрософт), имеют, например, исполняемые файлы дистрибутивов ежемесячных обновлений, являющиеся самораспаковывающимися cab-архивами, как и рассматриваемые дистрибутивы XP SP3.
Корневые сертификаты хранятся в системном "защищённом хранилище" Windows и являются частью дистрибутива операционной системы.
В данном случае наблюдается как минимум факт того, что цифровая подпись исполняемого файла третьего сервиспака XP не распознаётся Проводником Windows (в отличие от тех же обновлений).
В любом случае – это скандал. Либо это неслыханное распиздяйство Майкрософт (на фоне нынешних маркетинговых разговоров о безопасности) – либо таки подмена "честного" файла при скачивании.
Думается, этот факт нуждается в широком опубликовании и обсуждении. Хотя бы на 3DNews и прочих электронных СМИ.
md5 хэши вышеозначенных файлов:
BB25707C919DD835A9D9706B5725AF58 WindowsXP-KB936929-SP3-x86-ENU.exe
E38B5C19A3D12AE8DE0A12B1E098DD73 WindowsXP-KB936929-SP3-x86-RUS.exe
комментариев: 9796 документов: 488 редакций: 5664
Если да, то в чём коварство замысла, или подпись носит чисто уведомительный характер в виде иконок в проводнике, а система не отвергает такие пакеты при установке? А при автоапдейтах Win как проверка происходит?
комментариев: 9796 документов: 488 редакций: 5664
Боюсь спросить, там консоль есть? Какой-нибудь коммандой можно проверить подпись непосредственно? Может были какие-то обновления как раз для проводника, который теперь криво иконки показывает?
Может он наоборот раньше фальшивые подписи выдавал за правильные, а теперь его проапдейтили и он не признаёт рассылаемые заговорщиками из мировой закулисы фальшивки и их акция находится на грани провала?
По идее, судя по информации Майкрософт, система автоматического обновления Windows не должна автоматически устанавливать неподписанные обновления. Но данный файл ("Пакет сетевой установки пакета обновления 3 (SP3) для ОС Windows XP для ИТ-специалистов и разработчиков") предназначен для скачивания с сайта и установки человеком вручную. При этом, при его запуске, в случае отсуствия подписи никаких вопросов не задаётся.
Коварство замысла состоит в том, что как сам этот исполняемый файл самораспаковывающегося архива, так и его содержимое можно заразить чем угодно.
Бойтесь дальше :) Если Вы об этом спрашиваете, то в Windows – консоль есть! Об иконках речи не идёт, читайте внимательно. Речь идёт о вкладках в панели свойств файла, открываемой в Проводнике. Системными средствами, кроме как Проводником проверить подпись, насколько мне известно, нельзя. Есть системная утилита sigverif для проверки подписей уже установленных в систему файлов, но применить её в данном случае я не вижу способа..
Цифровая подпись есть и совпадает, md5 – bb25707c919dd835a9d9706b5725af58
Цифровая подпись есть и совпадает, md5 – bb25707c919dd835a9d9706b5725af58
Не следует путать хэш(контрольную сумму) MD5 и цифровую подпись. Это существенно разные вещи. Как Вы проверяли ЦИФРОВУЮ ПОДПИСЬ?
Не держите меня за дурака. Если сказано что подпись есть и проверена, значит проверена как надо, эксплорером.
Зачем Microsoft подделывать свои же собственные подписи? Они и так могут подписать всё что угодно по требованию любых спецслужб.
Проверьте подпись на другой системе прежде чем поднимать панику, иначе можно громко сесть в лужу. Вероятнее всего это у вас глюки.
комментариев: 9796 документов: 488 редакций: 5664
Подписи за них может подделывал кто-то другой. Или вообще не подделывал, а пользовался какой-то дыркой в проводнике или системе, которая пропускала левые подписи, а после какого-то настоящего апдейта MS, который этот кто-то пропустил мимо, всё поменялось и лазейка закрылась.
Хотя скорее это действительно глюки в системе проверки подписей, попробуйте скачать и проверить на чистой системе, как советовали.
unknown, вы никогда не_сидели/не_видели win? Не верится. Пуск/Start -> Выполнить_команду/Run_command -> cmd. Более того, на win можно поставить gpg, только вот проверять подпись встроенную уже в сам формат исполнимого файла... это сложнее, видимо можно написать свою программу которая будет извлекать нужный кусок из файла для проверки, и вызывать потом к нему gpg.
комментариев: 9796 документов: 488 редакций: 5664
А еще я панельки с иконками путаю ;-)
MS использует формат OpenPGP? С какой стати. Скорее они используют что-то на основе сертификатов OpenSSL, вместе с кусками кода BSD под соответствующей лицензией.
Пакеты и порты можно качать хоть с AstralNet. А вот файлы с хэшами выкачивать – лишь с доверенных узлов (можно добавить и свои к официальным репозитариям).
Если можно сломать центральный сервер, то можно сделать много что :) [и ломали, и уже не раз...] Конечно, разработчики могут хранить свои ключи на отдельных машинах, а не на центральном раздаточном сервере. Могут подписывать пакеты вообще временными ключами, а временные продлять, как это сделано для DA. Однако, BSDшников вообще PGP-подписи раздражают, и среднестатистическому opensource-проекту в первом приближении пох на безопасность. Насколько я помню, использовать PGP в том же OpenBSD предлагается лишь для сообщения приватным образом о некоей страшной уязвимости (типа remote root на большинстве конфигураций), но не более того.
Дебиан – да, молодцы что приводят полный анализ атак/взломов, однако(!), это не отменяет того, что к безопасности в среднем они относятся достаточно наплевательски (о чём можно узнать из их же детального анализа взломов).
комментариев: 9796 документов: 488 редакций: 5664
Какие-то концептуальные недочёты, с помощью которых могущественный противник может подменить системный софт, не взламывая пользовательскую систему, а на этапе её обновления, есть везде, хотя это самое последнее, что он попытается сделать.