Können Downloads manipuliert werden?

[CyborgBeta]

Hallo,

sagen wir, ich lade ein zip File von einem Webserver herunter. Kann der Download dann irgendwie so manipuliert werden, dass dennoch ein gültiges zip File gespeichert wird, aber mit anderem/manipuliertem Inhalt? Oder wäre so etwas durch Prüfsummen, etc. mathematisch ausgeschlossen, dass ein Download "on the fly" kompromittiert würde?

Falls ja... wer, wann und wie könnte so etwas tun?

 

[Zer0DEV]

Kurze Antwort: Ja, das ist möglich.

Der der Leitung, z.B. am DE-CIX, angezapft hat.
Dazu gehören u.a. Geheimdienste.

Das ist grundsätzlich auch bei HTTPS-Downloads möglich.
Dafür muss ja "nur" das Zertifikat bzw. der Aussteller komprimitiert sein.

 

[entropie88]

Ja, Man in the Middle.

Wichtige Downloads haben zb eine sha256sum, musst du manuell prüfen.
Bei fast allen Linux Distributionen sind die packete signiert.

 

[Skudrinka]

Dazu gehören u.a. Geheimdienste.

Nicht schon wieder eine solche Diskussion..

 

[Zer0DEV]

@Skudrinka Er hat eine Frage gestellt und ich habe eine legitime Antwort gegeben.
Vermutlich hätte ich Schreiben sollen, dass nur höchstkriminielle Hacker das machen.

 

[Skudrinka]

und ich habe eine legitime Antwort gegeben.

Verzeihung, eigentlich wollte ich es verallgemeinern und gar nicht dich persönlich ansprechen.

In letzter Zeit kommt es mir vor, das vermehrt Menschen sehr.. ängstlich sind. Um es vorsichtig zu formulieren.

 

[Lee Monade]

Ganz ehrlich wenn ich anfange mir um manipulierte Downloads sorgen zu machen sollte ich einfach den PC aus machen und verkaufen.
Das ist als würde man sich sorgen machen das nachts das Haus zusammenbricht und mich eine Dachziegel erschlägt.
Ja die Möglichkeit existiert aber die Wahrscheinlichkeit ist so gering das man eher zweimal in Folge 6 richtige im Lotto hat.

 

[Zer0DEV]

@Skudrinka Angst ist eben vielschichtig. Der eine so, der andere so...

Bestes Beispiel sind "Silent-SMS". Die kann eigentlich nur der Provider senden und der Provider ist dazu verpflichtet auf Basis von Gesetzen, Richtergeheiß oder auch mal ohne vorgenanntes, sie zu senden.
Grundsätzlich kann das natürlich auch ein "Bösewicht", sofern sich das Mobilfunkgerät in einer Dritt-Funkzelle einloggt.

Overall bringt dann eben auch die beste Verschlüsselung nichts, wenn CAs kompromitiert werden oder staatliche Zertifikate integriert werden sollen/müssen. Über derartige Vorstöße wurde für Browser ja bereits berichtet.

 

[CyborgBeta]

Kurze Antwort: Ja, das ist möglich.

Der der Leitung, z.B. am DE-CIX, angezapft hat.
Dazu gehören u.a. Geheimdienste.

Das ist grundsätzlich auch bei HTTPS-Downloads möglich.
Dafür muss ja "nur" das Zertifikat bzw. der Aussteller komprimitiert sein.

Na toll, jetzt habe ich ein diffuses Gefühl der Unsicherheit.

Konkret geht es um einen Download, den ich auf einem Linux-Server via wget und einem https-Link angestoßen habe. Die Geschwindigkeit betrug ungefähr 200 mb/s und dauerte nur ein paar Sekunden.

Nicht schon wieder eine solche Diskussion..

Wieso nicht? Soll etwas möglicherweise nicht besprochen werden, wenngleich es vielleicht "besprechungswürdig" wäre?

 

[Skudrinka]

Downloads bei Computerbase sind sicher.
Mehr braucht's gar nicht 🫣

Und bei allen anderem.. musst du mit dem Risiko leben oder man lässt es bleiben.

 

[CyborgBeta]

Btw ... ja, es ging dabei auch um Geld/Cryptos, aber in so geringen Mengen, dass sich dafür wahrscheinlich kein Hacker extra die Mühe machen würde.

 

[Zer0DEV]

@CyborgBeta Hast Du was ausgefressen, dass Du glaubst das dich jemand überwachen möchte?
Woran macht sich dein Gefühl denn fest, doch nicht etwa an den 200MB/s!?

Prüf das HTTPS-Zertifikat, den Aussteller und wenn das i.O. ist, sollte der Download auch i.O. sein.

 

[CyborgBeta]

Hast Du was ausgefressen, dass Du glaubst das dich jemand überwachen möchte?

Nein, nichts Illegales. Meine Frage war nur, ob es technisch machbar wäre, gewesen.

 

[qiller]

Na toll, jetzt habe ich ein diffuses Gefühl der Unsicherheit.

Wenn dich das wirklich wurmt, musst du halt alle CAs rausschmeißen und per Whitelist und nur die hinterlegen, denen du vertraust. Ist ja auch durchaus interessant, was sich da an CAs in den CA-Stores der Betriebsysteme bzw. Browser tummelt.

 

[klapproth]

Neu wäre das ja nicht...

Und woran erkennt man das korrekte Zertifikat? 🙂

https://www.golem.de/news/bei-hetzn...rde-in-deutschland-abgehoert-2310-178765.html

 

[BFF]

sagen wir, ich lade ein zip File von einem Webserver herunter. Kann der Download dann irgendwie so manipuliert werden

Ja.

Falls ja... wer, wann und wie könnte so etwas tun?

Ein jeder der den Downloadort uebernimmt.

 

[CyborgBeta]

Ein jeder der den Downloadort uebernimmt.

Quelle oder Senke? Was ist gemeint?

 

[qiller]

ob es technisch machbar wäre, gewesen.

Ich nehme mal an, du meintest 200MByte/s und ja, warum soll das bei einem gut angebundenen Server nicht gehen. Da er die ~120MB/s-Marke übersprungen hat, muss der Server auch mit mehr als einer 1Gbit/s NIC angebunden sein. Kannst ja selber auf der Konsole mit mii-tool oder ethtool überprüfen.

 

[CyborgBeta]

Ich nehme mal an, du meintest 200MByte/s

Ich meine das, was ich geschrieben habe, 200 Megabyte pro Sekunde.

Edit: Sorry, sehe gerade, du meintest das Gleiche ... die Finger waren wieder einmal schneller als der Kopf. Kein Beef bitte.

 

[Lee Monade]

, 200 Megabyte pro Sekunde.

Wo ist das Problem? Wenn dein Internet schnell genug ist sind 200 MB/s für einen gut angebundenen Server nichts ungewöhnliches.