Digitale Signatur vs. Prüfsumme / "Zuverlässigkeitsbasierter Schutz"

[EuleMM]

Hallo,

wenn ich es richtig verstehe, ist es so:

a) Softwarefirmen signieren ihre Installationsdateien (siehe Rechtsklick -> Eigenschaften -> Digitale Signaturen
b) Andernorts findet man auch Prüfsummen, z.B. hier bei diesem Freewareentwickler https://personal-backup.rathlev-home.de/ -> Download.
c) manche Software (Gitub?) haben oft gar keine Sicherheitsvorkehrungen (hab mich grad gefragt, warum das nicht automatisch im Downloadbereich erzeugt wird).

Ist es richtig, dass es für kleinere Entwickler (gerade auch im Ausland; und durchaus auch, wenn damit Geld verdient wird) nicht unüblich ist, dass eine digitale Signatur fehlt? D.h. ist das legitim?

Ist es dann aber sinnvoll/vertrauensfördernd, wenn stattdessen eine Prüfsumme auf der Website angegeben wird? (Laienfrage: Müsste die nicht optimalerweise auch noch andernorts angegeben werden, weil ja Software und Prüfsumme oft auf demselben Server liegen)?

Microsofts "Zuverlässigkeitsbasierter Schutz" (->insbes. "Apps und Dateien überprüfen") (und bei Edge auch noch andere "Maßnahmen") "verhindern" oder "stören" ja die Installation / den Download; vermutlich auf Basis von Community-Daten/Wahrscheinlichkeiten, und/oder fehlenden Signaturen (?). D.h. auch mit Prüfsumme wird so eine Installation verhindert, und die Warnungen geben keinen Aufschluss darüber (für den Durchschnitssuser), wie man eine Installation hinkriegt (Lösung: "Apps und Dateien überprüfen" temporär deaktivieren in "Zuverlässigkeitsbasierter Schutz".)

Habe ich das so im Großen und Ganzen richtig verstanden?

 

[Samurai76]

Ist es richtig, dass es für kleinere Entwickler (gerade auch im Ausland; und durchaus auch, wenn damit Geld verdient wird) nicht unüblich ist, dass eine digitale Signatur fehlt?

Nein, nicht unüblich, spart halt Geld.

D.h. ist das legitim?

Es gibt keine Gesetze, die SW-Entwickler dazu zwingen, eine Prüfsumme ihrer Daten zu erstellen.

Ist es dann aber sinnvoll/vertrauensfördernt, wenn stattdessen eine Prüfsumme auf der Website angegeben wird?

Man läd die SW, bildet lokal die Prüfsumme über den Download und vergleicht die Summe mit der angegebenen. Dann weiß man, dass die Daten vor Ort die sind, die der Entwicler auch meint. Was soll daran nicht vertrauensfördern sein? Diese Prüfsummen sind nicht vergleichbar mit Schlüsselpaaren öffentlich/privat, für die geschützte/geheime Übermittlung zwischen 2 Parteien.

Lösung: "Apps und Dateien überprüfen" temporär deaktivieren in "Zuverlässigkeitsbasierter Schutz"

Lösung: Nicht mit Edge downloaden. Nicht in das Windows Download Verzeichnis downloaden. Klappt bei mir mit FF und Chrome hervorragend.

 

[nutrix]

Ist es dann aber sinnvoll/vertrauensfördernt, wenn stattdessen eine Prüfsumme auf der Website angegeben wird? (Laienfrage: Müsste die nicht optimalerweise auch noch andernorts angegeben werden, weil ja Software und Prüfsummer oft auf demselben Server liegen)?

Die Prüfsumme erfüllt den Zweck der Datenkonsistenz beim Download, mehr nicht.

Du lädst eine Datei runter, und prüfst dann mit der Prüfsumme, ob sie genau so heruntergeladen wurde und keine Bitkipper oder Übertragungsfehler aufgetreten sind. Genau diese können üble Seiteneffekte erzeugen, daß beispielsweise die Installation nur kleine, aber fatale Fehler erzeugt, die man sich nicht erklären kann usw.

D.h. auch mit Prüfsumme wird so eine Installation verhindert, und die Warnungen geben keinen Aufschluss darüber (für den Durchschnitssuser), wie man eine Installation hinkriegt

Nein, das eine hat mit dem anderen nichts zu tun. Prüfsumme sagt nur, Datei ist ok. Installation ist ein anderes Thema.

(Lösung: "Apps und Dateien überprüfen" temporär deaktivieren in "Zuverlässigkeitsbasierter Schutz".)

Das ist Quatsch und sollte man lassen. Man lädt sich die Dateien einfach in ein anderes Verzeichnis und fertig.

 

[EuleMM]

Hallo, danke für die Antworten.

Einiges des Empfohlenen funktioniert allerdings nicht.

System: Windows 11 Pro ARM 23H2 (virtuelle Maschine); User=Administator

* Zunächst, Edge hab ich aus Trägheit verwendet, weil nur Test-VM. Habe jetzt FF dazuinstalliert. Edge macht keine großen Probleme, zeigt halt nen einfachen wegklickbaren Hinweis bei runtergeladenen Anwendungen an (und nervt mit Firlefanz bei jedem Update).

### NACHTRAG: Korrektur, Edge zickt doch rum und erlaubt den Download gar nicht, je nach Einstellung. Hab jetzt innerhalb von Edge, wenn ich mich richtig erinnere, sowohl komplettes Blockieren, als auch "nur Warnung", als auch gar keine Warnung gesehen bei derselben Datei, je nach Einstellung. Deaktivieren von "Apps und Dateien überprüfen"(s.u.) löst nicht nur das Problem beim Ausführen der Datei, sondern auch innerhalb des Downloadmechanismus bei Edge. Man muss an den anderen Sicherheitseinstellungen (die z.T. explizit Edge erwähnen) nix ändern.

NACHTRAG 2: Edge ist irgendwie völlig verbuggt, oder heute ist der Wurm drin. Ohne dass ich was geändert habe, wird mal blockiert, mal wird gar nix runtergeladen aber auch nix gemeldet, und mal wird ohne Probleme runtergeladen. Dubios. Liegt m.E. nicht am Server sondern an Edge... evtl. abhängig von Rechtsclick->Ziel speichern vs. Linksklick, aber egal... nur mal angemerkt, falls jemand Ähnliches beobachtet.

• Habe Ordner erstellt in C: (root), außerdem in Documents.
• Habe dorthin mit FF runtergeladen.

Nach wie vor wird das Öffnen komplett blockiert - das hierbei auftauchende blaue Fenster hat auch keinen "Dennoch installieren"-Button.*

Nur "Apps und Dateien überprüfen" deaktivieren in "Zuverlässigkeitsbasierter Schutz" scheint zu helfen. M.E. handelt es sich hierbei um so ein Reputationsgedöns, ohne dass jemand mit echter Ahnung drübergeschaut hat. Ist die Datei schlicht recht neu, gilt sie als "verdächtig" und wird komplett geblockt, um Durchschnittsuser vor sich selbst zu schützen. Vermute ich. (?)

* Den es durchaus geben kann: https://www.elevenforum.com/t/enabl...k-apps-and-files-from-web-in-windows-11.5731/