[решено] Надёжность цифровой подписи

[djuwa4]

Камрады, кто разбирается в компьютерной безопасности, подскажите. Во всех рекомендациях по установки софта на win советуется не ставить по от непроверенного издателя (не прошедшего проверку), мол когда злоумишленники вносят изменение в код проги, какого либо издателя, то они неприменно "нарушают" цифровую подпись, поэтому вычеслить софтину модернизированную мерзавцами легко. Однако, я не верю в 100% надёжность, подскажите, есть ли возможность взломщикам обойти эту подпись или восстановить поддельный её экземпляр (так как бы он был от действующего производителя)?? Если можно, дать развёрнутый ответ, не просто да или нет, а почему и как.... Мне не из корыстных целей, честно)) Просто хочу понять принцип и знать надёжность такого по (с подписью я имею в виду).

[sergey888]

поэтому вычеслить софтину модернизированную мерзавцами легко »

И как же вы это сделаете?
Проги всегда нужно скачивать с сайта изготовителя и тогда все будет нормально. Или если вдруг там скачать не возможно то с доверенных сайтов. А понять модернизировали прогу или нет не возможно без оригинала :)
И кстати часто изменяют прогу не только злоумышленники но иногда еще например локализаторы и на русскоязычном сайте прога может сильно отличаться от англоязычного сайта изготовителя :yes:

[djuwa4]

И как же вы это сделаете? »
Ну система безопасности в win же пишет чей инсталяшник подписан, а чей нет. Именно так.. Правда, производители (часто бесплатной софтины), вообще не паряться на подписях.
А понять модернизировали прогу или нет не возможно без оригинала » Типа только прогерам код смотреть? Я и говорю, что подпись на то и рекомендована, что если шаловливые ручки крякают. то подпись слетает.
И кстати часто изменяют прогу не только злоумышленники но иногда еще например локализаторы » Ну, так у них та то лецензия есть, тобышь они партнёры с изготовителем. подписать русификаты можно как раз уже у локализатора.

Я то просто по наивности думаю как, если исполняемый файл запускаешь на win а она пишет, что производитель, например dr.web, то это наверняка уже безопасный установочник, мол не крякнутый.

[djuwa4]

Ээ тема не движится, можно удалять!)))))

[xoxmodav]

Цифровые подписи воруют и подписывают ими заражённые программы - поэтому безоговорочно доверять цифровой подписи не стоит.

[djuwa4]

Цифровые подписи воруют »
Да, но насколько я понимаю, это не такой частый случай. А вообще взломщику обойти подпись на ПО возможно?

[xoxmodav]

djuwa4, в теории наверняка можно, а вот на практике пока нет (ну или я просто не помню таких случаев).

[WindowsNT]

В теории как раз таки нельзя.

[sergey888]

Специально интересовался данной темой, знающие люди говорят, что доверять цифровой подписи нельзя, ее довольно легко подделать :yes:
По этому в антивирусах в настройках рекомендуется настроить не доверять программам имеющим цифровую подпись :)

[djuwa4]

ее довольно легко подделать »
Вот, это и хотел услышать.
Проги всегда нужно скачивать с сайта изготовителя и тогда все будет нормально. »
Похоже это остаётся единственный нормальный выход. А крякнутую софтину, например для дома, лучше брать у знакомых, кто юзал её уже до потери пульса и не обноружил с ней проблем.

[WindowsNT]

знающие люди говорят, что доверять цифровой подписи нельзя »
в NIST и US National Security Agency уже сообщили? А то мужики-то и не знали..

[sergey888]

в NIST и US National Security Agency уже сообщили? А то мужики-то и не знали.. »

Не понимаю к чему сарказм, лично я в этой теме ничего не понимаю, да меня не сильно и интересует, но я прочел на вполне заслуживающем доверия форуме что да цифровую подпись подделать можно поэтому и написал тут. Так это или не так я без понятия. Если вы не согласны, то так бы и написали. А то из всей этой темы ничего конкретного понять не возможно было, одни предположения. Если вы считаете что цифровую подпись подделать нельзя то так бы и написали прямым текстом :)

[djuwa4]

Я делаю заключение такое! Когда будет у меня нормальный админский уровень, то нужно будет серьёзно заняться изучением информационной безопасности. А то, мы тут только слухи пока и обсуждаем, ясности 0. Однако соглашусь с sergey888 на данный момент есть куча способов избежать лишнего гемора и держать систему в порядке.

[sergey888]

Я делаю заключение такое! Когда будет у меня нормальный админский уровень, то нужно будет серьёзно заняться изучением информационной безопасности. А то, мы тут только слухи пока и обсуждаем, ясности 0. Однако соглашусь с sergey888 на данный момент есть куча способов избежать лишнего гемора и держать систему в порядке. »

Небольшое дополнение :)
Сегодня нарыл еще информации, оказывается довольно большое количество зловредов идет с цифровой подписью и из за этого у некоторых антивирусов низкий детект на такие файлы :dont-know

[WindowsNT]

лично я в этой теме ничего не понимаю »
Тогда не стоит отвечать, иначе потом на ваши ответы ещё и ссылки давать начнут.

Я уже выше отметил, что надёжность цифровых подписей крайне высока, теоретически их ещё не раскололи. Если вы можете доказать иное — покажите. Ссылку на "знающих людей" можете не приводить, это вполне укладывается в рамки Парадокса Лебедева (в Гугле найдёте, что это).

На практике же упомянутые вами зловреды подписаны не взломанной, а краденой подписью. Что есть, как говорят у нас в Одессе, две большие разницы. Но оппонировать особо некому, ибо вы сами говорите, что в вопросе не разбираетесь, а спрашивающий изначально хотел услышать именно то, что подписи легко подделываются, об этом он прямо говорит в тексте. Зачем тогда вообще было задавать вопрос, неясно.

[sergey888]

На практике же упомянутые вами зловреды подписаны не взломанной, а краденой подписью. »

Отлично, подпись не взломана, а украдена, но чем взломанная подпись отличается от краденой для пользователя? Получается зловредная прога может быть подписана вполне легальной подписью? Ведь мы же говорим о том можно ли доверять программам с цифровой подписью и выходит что все таки нет :dont-know
И в данном случае не возможность взломать подпись остается слабым утешением.

[WindowsNT]

Для пользователя это должно быть дополнительным precaution смотреть, совпадают ли данные в подписи (например, производитель и название продукта) с тем, что, как предполагается, он собрался устанавливать или запускать.

Для администратора это должно стать одним из considerations планирования, внедрения и поддержки Public Key Infrastructure.