PowerShell Modul auf Sicherheit prüfen

[Don-DCH]

Guten Mittag zusammen,

gerne würde ich folgendes PowerShell Modul verwenden:

https://www.powershellgallery.com/packages/MonitorConfig/2.0

Kann man sicher sein, wenn das Modul aus der powershellgallery kommt, dass es ohne Bedenken verwendet werden kann?
Gibt es Indizien ob ein Modul sicher ost oder nicht?
Kann man das ganze irgendwie prüfen?

Viele Grüße

 

[mesohorny]

Kann ich eben am Handy nicht öffnen.
Ob die Seite vertrauenswürdig ist, kann ich nicht sagen, ich würde dich daher an GitHub verweisen.

Du kannst es einfach in der Windows eigenen Sandbox öffnen und schauen was passiert.
Ggfs. kannst du das Script auch von Copilot / ChatGPT auseinandernehmen lassen.

Generell gilt aber: Führe kein Script aus, dass du nicht zu 100% lesen kannst.

 

[Autokiller677]

Ob die Seite vertrauenswürdig ist, kann ich nicht sagen, ich würde dich daher an GitHub verweisen.

powershellgallery.com i.A. ist schon vertrauenswürdig, ist offiziell von Microsoft. Quasi wie ein App-Store für PowerShell Module.

Aber: Da kann halt jeder sein Modul veröffentlichen.
Daher ist das Modul jetzt nicht per se vertrauenswürdig. Auf der PSG Seite ist aber auch der Source-Code verlinkt:
https://github.com/MartinGC94/MonitorConfig

 

[LotusXXL]

Man kann sich auch manuell diese "monitorconfig.2.0.0.nupkg" herunterladen und diese dann außerhalb des Systemdatenträgers mit 7-Zip o.ä. entpacken.
Dann mit Install-Module -Name "BenutzerdefinierterPfad\MonitorConfig" einbinden.

Zu finden hier:
https://www.powershellgallery.com/packages/MonitorConfig/2.0
unter dem Reiter
"Manual Download"

 

[JumpingCat]

Kann man sicher sein, wenn das Modul aus der powershellgallery kommt, dass es ohne Bedenken verwendet werden kann?

Selbst wenn du ein https://en.wikipedia.org/wiki/Static_application_security_testing machst kannst du dir nie 100% sicher sein. Oder willst du nur wissen ob es bekannte Sicherheitslücken gibt? Dann wird den Namen der Software ein Google + CVE rein.

 

[Don-DCH]

Guten Mittag zusammen,

vielen herzlichen Dank für die zahlreichen Rückmeldungen

Daher ist das Modul jetzt nicht per se vertrauenswürdig. Auf der PSG Seite ist aber auch der Source-Code verlinkt:
https://github.com/MartinGC94/MonitorConfig

Das klingt schonmal recht gut.
Wobei man skeptisch sagen könnte es ist nicht garantiert dass der Source Code aus Github auch 1:1 hochgeladen wurde oder?

Man kann sich auch manuell diese "monitorconfig.2.0.0.nupkg" herunterladen und diese dann außerhalb des Systemdatenträgers mit 7-Zip o.ä. entpacken.
Dann mit Install-Module -Name "BenutzerdefinierterPfad\MonitorConfig" einbinden.

Vielleicht eine doofe Frage aber wo liegt der Unterschied zwischen der Installation über Gallery und dem manuellen herunterladen und installieren?

Oder willst du nur wissen ob es bekannte Sicherheitslücken gibt?

Das wäre auhc interessant aber mir geht es eher darum ob ich das Modul sicher verwenden kann in Bezug auf Schadcode etc.

Leider gibt es ja das Modul nciht direkt auf Github das wäre dan sicherer oder weil es da eher überprüft würde.

Wobei der User schon einige module hat mit insgesamt vielen Downloads, doof gefragt würde das nicht auffallen wenn da was nicht mit rechten dingen zugeht?

 

[Autokiller677]

Das klingt schonmal recht gut.
Wobei man skeptisch sagen könnte es ist nicht garantiert dass der Source Code aus Github auch 1:1 hochgeladen wurde oder?

Kann man. Die Frage ist aber, ob du auch jede andere Software auf deinem PC so akribisch unter die Lupe nimmst.
Ich für meinen Teil hab weder den Firefox-Source-Code geprüft, mit dem ich diese Zeilen hier schreibe, noch verifizert, dass die Binary exakt dem Code entspricht.

Wenn du sicher gehen willst, kannst du das Modul halt selbst kompilieren.

 

[LotusXXL]

wo liegt der Unterschied zwischen der Installation über Gallery und dem manuellen herunterladen und installieren?

Habe ich hier doch schon beantwortet:

Man kann sich auch manuell diese "monitorconfig.2.0.0.nupkg" herunterladen und diese dann außerhalb des Systemdatenträgers mit 7-Zip o.ä. entpacken.

Hier wurde das auch beantwortet:

Wenn du sicher gehen willst, kannst du das Modul halt selbst kompilieren.