Обсуждение завершено Влияние стороннего сертификата на безопасность системы

[vavun]

Приветствую уважаемые форумчане.

Есть такая вещь, как UpdatePack7 от человека с псевдонимом simplix. http://update7.simplix.info/
Его разработки есть и на этом форуме в том числе.

Использую этот пак для интеграции обновлений в install.wim, так как установка такого большого количества обновлений на установленной системе бывает затруднительна, или заканчивается ошибками.

Пользователь timsky с другого форума задал вопрос о том, что, собсно, сертификат simplix-а делает в системе ?
UpdatePack7R2 версия 15.8.20

Проверил, действительно присутствует.





Хотелось бы узнать:
1) как это может повлиять на безопасность компьютеров, где был использован этот пак ?
2) что в теории может дать человеку наличие его сертификата в чьих-то системах ?

Заранее спасибо

 

[vavun]

Вполне логично было увидеть цифровую подпись у пака



Еще хотелось бы узнать, как можно оправдать установку сертификата в систему ?
Суть работы пака сводится к установке и/или интеграции обновлений, наличие сертификата в системе тут ни каким боком не требуется. Установка сертификата в установочный wim тем более не требуется.

Файл сертификата прилагаю, на всякий случай.

 

[Кирилл]

1) как это может повлиять на безопасность компьютеров, где был использован этот пак ?

Прямо с уверенностью 100% сказать сложно.
С одной стороны использование корневого сертификата дает вам дополнительную защиту,при условии что автор добропорядочный человек.
С другой стороны - прочтите статью Superfish и опасные корневые сертификаты

что в теории может дать человеку наличие его сертификата в чьих-то системах ?

Наличие сертификата как такового это гарантия того,что система распознает его подпись как безопасное и совместимое ПО.

Возможно simplix сам на днях посетит форум и даст свой комментарий.

 

[vavun]

Koza Nozdri, а в теории, что может дать злоумышленнику сертификат установленный в системе ?
Тут уже речь не о симпликсе, а в целом.

И если можно ссылку на статью, не могу найти первоисточник (или это первоисточник предлагаем мне купить статью ?)
Буду очень благодарен =)

 

[Dragokas]

С другой стороны - прочтите статью Superfish и опасные корневые сертификаты

Тоже самое можно сказать и про ПО, не устанавливающее сертификатов. Здесь все зависит от мастерства авторов. Но к данной теме относится очень посредственно.

И если можно ссылку на статью, не могу найти первоисточник (или это первоисточник предлагаем мне купить статью ?)

Ноутбуки Lenovo поставляются с вредоносным ПО Superfish и его CA-сертификатом и приватным ключом в хранилище

Зачем устанавливать сертификат в корневое хранилище?
Если у человека нет легитимной (приобретенной за деньги) ЭЦП, то это позволит операционной системе опознавать все самоподписанные (самовыданные) ЭЦП подобно легитимным,
т.е. на странице свойств будет написано, что цифровая подпись действительна:



При этом, в диалоговом окне UAC будет отображаться имя издателя.
Но к легитимной она приравнена все равно не будет. Так, например, драйвер, подписанный нею, не будет работать на x64, начиная с ОС Vista.

Угрозы безопасности я здесь не вижу. Файл приватных ключей, который генерируется во время создания сертификата, все также хранится на руках у издателя.
Поэтому подменить подпись стороннему лицу здесь не получится.

 

[Кирилл]

+ simplix еще сам отпишется на днях,так что все нормально)