Integrität von Win10 ISO durch Prüfsumme (Hashwert) verifizieren

[Cinematic]

Ich habe mal versucht den Hashwert der aktuellen Win10 ISO zu googlen - ohne Erfolg.
Allerdings bin ich auf folgenden User Kommentar gestoßen:

Its constantly changing which each download, so there is no actual checksums available to reference.
If you are using the Media Creation Tool to download, it will ensure its integrity when you download it.

Weiß jemand ob das stimmt? Erscheint mir ziemlich merkwürdig.

Warum sollte die Prüfsumme von jedem Win 10 ISO Download anders sein? Das würde es ja unmöglich machen eine Win 10 ISO anhand ihrer Prüfsumme auf Integrität zu testen.
Und wenn das Media Creation Tool selbst auf Integrität prüft, bringt das doch gar nichts solange ich nicht von der Integrität des Media Creation Tools selbst überzeugt bin?!

Wenn das Media Creation Tool nämlich kompromittiert ist, kann das Programmverhalten ja komplett manipuliert sein, insbesondere kann es ja einfach eine kompromittierte Win 10 ISO herunterladen und dann behaupten, dass alles OK ist, oder nicht?

 

[Amaoto]

Wenn du direkt eine ISO-Datei herunterlädst, sollte der Hash gleich bleiben. Die ISO-Dateien, die vom Media Creation Tool gebaut werden, sind auf die Weise nicht verifizierbar, da z.B. die Zeitstempel jeweils unterschiedlich sind.

 

[t-6]

Wenn das Media Creation Tool nämlich kompromittiert ist, kann das Programmverhalten ja komplett manipuliert sein, insbesondere kann es ja einfach eine kompromittierte Win 10 ISO herunterladen und dann behaupten, dass alles OK ist, oder nicht?

Das könnte es, richtig. Aber der Vektor um das Media Creation Tool kompromittieren zu können, dürfte vergleichbar sein wie eine kompromittierte ISO bei Microsoft hochzuladen.

Was muss ich machen um das MediaCreation Tool zu kompromittieren? --> Zugang zu den Downloadservern von Microsoft erlangen & dort das MediaCreationTool gegen eine kompromittierte Variante austauschen.

Was muss ich machen um eine kompromittierte ISO beispielsweise im VLSC abzulegen? --> Zugang zu den Downloadservern von Microsoft erlangen & dort eine kompromittierte ISO ablegen.

Auf signierte Bootloader/Secure Boot usw. noch nicht mal eingangen.

Strenggenommen bräuchten wir eher die Prüfsummen des jeweiligen Media Creation Tools statt der jeweiligen ISOs ^^

 

[Cinematic]

@t-6 ok, das macht Sinn, ich frage mich aber noch folgendes:

Ich habe eine Win10 Neuinstallation vor. Wie erstelle ich dazu am besten den Installationsstick?

1) Mittels Media Creation Tool auf einem 6 Jahre alten Win10 PC, welcher zwar keine Anzeichen von einer Kompromittierung macht, aber es trotzdem natürlich sein könnte, da nicht besonders viel auf Sicherheit geachtet wurde.

2) Mittels ISO Download auf einem Linux Laptop, der nur sehr selten genutzt wurde.

Man möchte ja zwei Sicherheitsattribute haben. Einerseits muss der Download original sein (Integrität), und dann darf während der Erstellung des USB Sticks keine Manipulation stattfinden.

Angenommen mein 6 Jahre altes Win10 System sei kompromittiert; dann wäre es doch möglich, dass der Installationsstick dann auch kompromittiert ist, oder nicht?

Oder ist das alles vollkommen egal und selbst wenn der unwahrscheinliche Fall eintreten sollte, dass ich einen kompromittierten Installationsstick haben sollte, würde dann der signierte Bootloader bzw. Secure Boot das direkt merken und ich wüsste bescheid, dass etwas nicht stimmt?

 

[chrigu]

Der Stick wird vom mediacreationtool formatiert. Es wäre ein Wunder wenn genau der Sektor wo die malware drauf wäre trotzdem funktionsfähig wäre

 

[Cinematic]

@chrigu es geht nicht darum, dass der Stick kompromittiert ist. Dass das egal ist, ist mir klar und hast du richtig begründet.

Es geht darum ob es ein Sicherheitsrisiko ist, wenn der PC, auf dem ich den Stick erstelle, kompromittiert ist.
So dass die Malware, während der Erstellung des Sticks, Schadcode in die Installationsdateien des Sticks hinzufügt oder sonst irgendetwas manipuliert.

 

[BFF]

Wenn Du solch Malware hast @Cinematic duerfte es theoretisch auch der Maleware moeglich sein Dir die Richtigkeit der (vorgegaukelten) Pruefsummen zu bestaetigen.

Es geht darum ob es ein Sicherheitsrisiko ist, wenn der PC, auf dem ich den Stick erstelle, kompromittiert ist.

Wenn man die Kenntnis hat, dass die Kiste kompromittiert ist macht man definitiv nix mehr mit dieser.
Auch keine Erstellung von irgendwas.
Es ist doch voellig unwichtig ob die Windowsinstallation gleich mit trojanisiert werden koennte.
Der Stick allein kann zum Zombie werden und als Medium verwendet werden die Schadsoftware zu verbreiten.

BFF

 

[Cinematic]

Okay, ich werde wohl einfach die Win10 ISO über den Linus Laptop laden.
Integrität prüfen spare ich mir dann wohl, denn angenommen die Micrsoft Website würde tatsächlich zurzeit kompromittierte Win10 ISOS verteilen, dann würde ich ja spätestens in ein paar Tagen in einer News hier auf CB davon lesen und wüsste bescheid, oder?

Ansonsten wäre noch die Frage offen: wo finde ich den Hashwert der Win10 ISO?
Es kann doch eigentlich nicht sein, dass für etwas derart wichtiges kein Hashwert zu finden ist mit dem ich auf Integrität prüfen kann...

 

[BFF]

Naja. Zum spielen duerfte das hier reichen.

https://tb.rg-adguard.net/public.php

Nimm Dir eine ISO, mach eine Pruefsumme, warte auf das naechste monatliche Update, lade wieder (die) eine ISO und pruefe ob gleich oder nicht gleich.

Ich denke, das MS keine Pruefsummen publiziert.

BFF

 

[purzelbär]

Cinematic, du machst dir irgendwie zu viele Gedanken was passieren könnteMach vom 6 Jahre alten PC mittels Linux Live Medium eine Datensicherung dessen was du nicht verlieren willst wie Bilder, Dokumente usw. dann formatiere den Stick auf dem das Windows 10 Installationsmedium drauf soll, lade dir das Windows Media Creation Tool über das Linux Laptop runter wenn das geht und brenne das auf den Stick und dann boote das Windows 10 Installationsmedium, lösche damit die jetzigen Partitionen des 6 Jahre alten PC's und gleich danach formatiere die neue Partition. Dann installiere Windows 10 neu drauf und wenn das fertig ist, scanne deine Datensicherung mit 2 verschiedenen OnDemand Scanern(siehe meine Signatur zum Beispiel)bevor du die Daten wieder aufs neue Windows 10 spielst. Wenn das alles fertig ist, installiere dir ein Backup Programm wie Aomei Backupper Standard, Easeus Todo Backup Free oder Macrium Reflect Free um nur mal 3 zu nennen, schliesse eine USB Festplatte an und mach auf dieser damit ein erstes Systembackup/image/sicherung vom neuen Windows 10.