Вы используете устаревший браузер!

Страница может отображаться некорректно.

Незваные гости

Незваные гости

Другие выпуски этой рубрики (97)
  • добавить в избранное
    Добавить в закладки

Право подписи – кому можно верить?

Прочитали: 21516 Комментариев: 31 Рейтинг: 58

16 ноября 2020

Составлять документы в компаниях, как правило, могут многие (если не все) менеджеры, а вот право их подписи обычно есть не у всех – а лишь у тех, кто берет на себя ответственность за решения, озвученные в подписываемых документах. И это логично. Схожая ситуация прослеживается и когда речь идет о программном обеспечении.

Создать программу, в том числе и вредоносную, может любой. Существуют даже курсы, авторы которых обещают научить создавать вредоносные программы. Пользователь не может быть уверен в том, что присланная ему программа не несет вредоносной функциональности. А хотелось бы гарантий!

В случае ПО такую гарантию могут дать электронные подписи. Они удостоверяют подлинность программы, подобно подписи нотариуса на документе. Такие подписи свидетельствуют, в частности, что программа не была изменена с момента подписания, сохранила свою целостность, в нее не был внедрен некий (возможно, вредоносный) код. Требование наличия подписи у программ накладывает на их разработчиков определенные обязательства и требует определенных затрат, но это окупается дополнительной безопасностью пользователей.

Проверять электронную подпись может и операционная система при старте программы, и другое ПО – в частности, антивирус Dr.Web.

И есть достаточно интересный нюанс. Именно тот, кто проверяет подпись, решает, что делать с подписанным файлом дальше.

Например, MS Windows проверяет наличие подписи у загружаемых драйверов. Дело нужное, не спорим. Так как, загрузив драйвер, злоумышленник или вредоносная программа потенциально могут делать в системе все что угодно.

Но недостаточно понять, не изменен ли файл с момента подписи, – важно выяснить, можно ли доверять тому, кто его подписал. Скажем, компания «Майкрософт» поступила радикально и прекратила поддержку всех сторонних корневых сертификатов с возможностью подписи в режиме ядра. Существующие сертификаты с возможностью подписи кода режима ядра будут работать до истечения срока их действия, после чего станут недействительными. Теперь, чтобы подписать драйвер, нужно зарегистрироваться в программе Windows Hardware Dev Center.

Ничего, кстати, не напоминает? Бессмертное «Никому верить нельзя. Мне можно».

С одной стороны, шаг правильный: компания берет на себя ответственность. С другой – она же может регулировать доступ к системе подписания. И в любой момент решить (или за нее решат, включив некие санкции, которые компания должна будет исполнять), кто имеет право работать в операционной системе, а кто – нет. Страшноватенько.

«Все разработчики, которые хотят, чтобы их драйверы режима ядра были включены в Windows, должны следовать процедурам, изложенным группой разработчиков оборудования Microsoft».

Источник

Что касается обычных исполняемых файлов, то для большинства коммерческого ПО исполняемые файлы имеют цифровые подписи. Можно привести простой пример. Если пользователь ищет некую программу в Интернете, то не факт, что первым в выдаче окажется сайт ее разработчика. И далеко не факт, что предложенная для скачивания программа будет оригинальной, а не модифицированной злоумышленниками. И в этом случае хорошо бы вмешаться операционной системе.

По умолчанию ОС Windows на этапе запуска приложений, требующих повышенных привилегий, проверяет достоверность подписи посредством UAC (контроля учетных записей). При этом при недействительной подписи система никак не ограничивает запуск, а лишь помечает, что издатель запускаемой программы неизвестен.

Если же модифицировать исполняемый файл, запускаемый без UAC (например, Chrome.exe), то система, настроенная по умолчанию, и вовсе никак не отреагирует на это изменение, несмотря на уже недействительную цифровую подпись. Чтобы вручную проверить достоверность цифровой подписи файла, необходимо заходить в отдельную вкладку в его свойствах и просматривать сертификат.

Таким образом, ОС никак не ограничивает запуск модифицированных (в том числе злоумышленниками или вредоносной программой) исполняемых файлов, оставляя решение на откуп пользователю.

Что в большинстве случаев сделает пользователь, увидев предупреждение о попытке запуска не имеющего подписи файла, если он только что был загружен? Правильно – нажмет кнопку ОК. Если перед этим вообще не отключил контроль учетных записей.

#Windows #Андроид #антивирус #ответственность #цифровая_подпись

Антивирусная правДА! рекомендует

Должна ли идеальная система сигнализировать об измененном исполняемом файле, тем самым повышая осведомленность пользователя и стимулируя разработчиков выпускать подписи? Или же ОС по умолчанию должна давать максимум свободы пользователю, позволяя ему решать, нужна ли ему безопасность ценой настроек и предупреждений?

Так сложилось, что Windows оставляет безопасность на усмотрение пользователей. Как было сказано выше, операционная система практически не ставит преград для запуска файлов, имеющих недействительную цифровую подпись, а единственным предупреждением выступает UAC, который также напрямую не запрещает запускать модифицированные файлы.

И еще одна проблема. Можно ли положиться только на наличие действительной подписи? Скорее всего нет. Пользователь не знает, кто и как подписал файл.

Пример – Trojan.ShadowHammer. Криминальная группировка украла подпись и подписала ей зараженный исполняемый файл одного очень известного вендора. Файл скачивался с официального сайта, а в нем присутствовал вредоносный код. Подпись считалась действительной до момента обнаружения этого факта. Затем вендор отозвал сертификат.

Подписи являются существенным фактором в плане обеспечения безопасности, но все же не дают 100% ее гарантии. При определенных обстоятельствах модификация файла (то же заражение вирусом) потенциально не повлияет на сохранность подписи. Например, могут эксплуатироваться уязвимости в компонентах ОС или программах, которые контролируют целостность подписи. В качестве примера можно привести относительно свежую уязвимость Windows CVE-2020-16922 (патч вышел в октябре), когда злоумышленники могли использовать валидный подписанный архив-инсталлятор MSI и «склеивать» его с вредоносным файлом, сохраняя при этом действительную цифровую подпись. Подпись есть, но она касается части файла (подробнее об этом).

Другой пример – на Android. Для этой ОС одну из таких уязвимостей, позволяющих модифицировать файлы и не затрагивающих подпись, обнаружили наши специалисты).

Так что рекомендуем использовать антивирус. Любой файл должен проверяться и при скачивании, и при запуске. Нельзя полагаться на то, что операционная система не даст запуститься измененному злоумышленниками файлу.

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии