Zertifikate für autoit.de-User

1. offizieller Beitrag

    Was haltet ihr von einer Certification Authority für die User von autoit.de? 40

    1. Ich finde die Idee gut! (29) 73%
    2. Ich finde die Idee nicht so gut/schlecht. (bitte im Beitrag Gründe angeben) (6) 15%
    3. Ist mir ziemlich egal. (5) 13%

    Hallo,

    Es gibt ja hier viele User, die auch EXE-Dateien von ihren Programmen erstellen. Und wenn so eine EXE-Datei dann hier im Forum von einem anderen User runtergalden wird, steht da ja erstmal "Herausgeber konnte nicht verifiziert werden" und so weiter. Wenn jetzt jeder hier im Forum seine Dateien mit einem Zertifikat signieren würde, stände da immer direkt der Name des Users, man könnte sicher sein, dass nicht zum Beispiel jemand den Server gehackt hat und Viren dort platziert hat. (Ja ich weiß, is nit sehr wahrscheinlich...).

    Problem: Bei bekannten Unternehmen kosten diese Zertifikate ziemlich viel (bei VeriSign für ein Jahr knapp 500$ :thumbdown: )

    Ich habe mich jedoch in letzter Zeit mit Zertifikaten, Erstellung von Certification Authorities (CAs) etc viel beschäftigt und wäre in der Lage, eine solche Zertifizierungsstelle für das Forum hier zu erstellen, und für die User, welche solche Zertifikate wollen, welche auszustellen.

    Dann müsste nurnoch jeder, der diese Überprüfung nutzen will, das Root-Zertifikat von autoit.de installieren und könnte damit alle signierten Programme aus dem Forum überprüfen. Das signieren von Programmen ist einfach und dauert normalerweise weniger als 1 Minute. Ich würde, falls mein Vorschlag angenommen wird, eine Anleitung zum signieren erstellen.

    Hier die Vorteile und Nachteile zusammengefasst:

    Vorteile:

    - Programme werden auf Echtheit geprüft, dadurch keine Gefahr falls Server gehackt würde.
    - Man sieht sofort, von wem das Programm stammt, und muss nicht erst im Forum suchen falls man es vergisst.
    - durch eigene CA für das Forum kostenlose Zertifikate.
    - wenn gewünscht kann im Zertifikat zusätzlich der echte Name stehen.
    - der auf Windows Vista wirklich extrem auffällige (und meiner Meinung nach übertriebene) "Nicht-Bestätigter-Hersteller"-Dialog sieht viiieel angenehmer aus ;)

    Nachteile:

    - Für die Überprüfung muss das Root-Zertifikat von autoit.de installiert werden.
    - echte Namen lassen sich nicht überprüfen.
    - Zertifikate müssten nach einigen Jahren (gesetzlich sind bis zu 5 zugelassen) neu erstellt werden.
    - man müsste einen Zertifikats-Request erstellen, dies dauert jedoch auch nur ca. 1-2 Minuten, ich würde auch dazu eine Anleitung erstellen.

    Falls ihr mir für die Verwaltung der CA nicht vertraut, kann ich auch jemand anderem alles erklären und meine selbstgeschriebenen Programme für automatisches signieren der Anträge etc. geben (die wollte ich sowieso hier bald veröffentlichen). Wenn ich mich richtig erinnere hatte sich ja auch peethebee mal mit RSA beschäftigt, was ja die Grundlage von Zertifikaten ist.

    Hier sind noch einige Bilder des Ausführen-Dialogs bei nicht signierten und signierten Programmen. Ich habe als Beispiel mal einfach das nächstbeste Programm genommen, was ich gefunden habe, Dir2Drive von DjDominik(hoffe du hast nichts dagegen ^^ ), sowie das Aussehen des von mir zum Signieren benutzten Programms. Zum signieren habe ich einfach mal eine CA erstellt, die ich allerdings wieder gelöscht habe.

    Dialog bei nicht signierter Datei: autoit.de/wcf/attachment/6382/
    Dialog bei signierter Datei: autoit.de/wcf/attachment/6383/
    Eigenschaften bei signierter Datei: autoit.de/wcf/attachment/6385/
    Das von mir zum signieren benutzte Programm: autoit.de/wcf/attachment/6384/

    • Offizieller Beitrag

    Nun es ist letztlich jedem selbst überlassen, ob er Fremddateien (exe) ausführt.
    Nur ändert ein Zertifikat nichts an einer exe, sie kann trotzdem schadhaft sein (auch ungewollt).
    Ich finde, in einem Skriptforum haben exe-Dateien nichts verloren. Insofern stellt sich mir die Frage nach einer Zertifizierung eh nicht.
    Und einem Zertifikat traue ich auch nicht weiter, als ich ein Schwein werfen kann. ;)

    Finde die Idee grundlegend Gut, aber glaube ich trotzdem das eine exe eher suboptimal is. Eine au3 is mir um einiges lieber, da man auch nachschauen kann wie gewisse Probleme gelöst wurden (Lerneffekt für Anfänger). Und auserdem kann es ja auch sein dass irgend so ein Depp sich hier anmeldet und dann nen Virus schreibt den er sich zertifizieren lässt.

    Mfg

    Computers are like Airconditioning. They don´t work with open Windows.

    • Offizieller Beitrag

    Ein Exe-Programm bleibt eine ausführbare Datei, der ich nicht ansehen kann, was sie macht. Ob sie nun ein Zertifikat besitzt oder nicht ist dabei nebensächlich.
    Im Prinzip müsste so ein Zertifikat auf den Realnamen ausgestellt sein und das nach vorheriger Überprüfung, ob der Name auch wirklich zu der Person gehört. Alles andere ist nur ein Pseudo-Zertifikat und bietet nur eine "falsche" Sicherheit.
    Hinzu kommt, dass jemand mit einer Exe auch unfreiwillig Viren verbreiten kann (Virus auf eigenem Rechner aktiv).

    Fazit: Echte Sicherheit bietet nur das Script.

    Erstmal: Ich finde au3-Dateien natürlich auch besser, und finde das jeder seine Scripte hier reinschrieben sollte, aber manche stellen halt (zusätzlich) eine fertig kompilierte Anwendung ein, und dass man in einem Scriptforum zum lernen ist, finde ich natürlich auch :) Deshalb schreibe ich auch immer meine Scripte hier rein (bisher sinds noch nicht viele - aber bald werden es hoffentlich mehr). Das sich weiterhin jemand einfach anmelden kann, und dann irgendwelche Viren hier reinstellen kann ist auch klar, es geht hauptsächlich darum, dass man - falls man kompilierte Dateien aus dem Forum ausführt - die Warnmeldungen alle einfach ausblenden kann, z. B. kann man sagen: BugFix(oder jemand anderem natürlich) vertraue ich genug, ich blende alle Warnmeldungen für seine Programme aus.
    Setzt natürlich vorraus, das man mit seinem privaten Schlüssel zum Zertifikat vernünftig umgeht.
    Außerdem kann so zum Beispiel wie gesagt niemand, der irgendwie auf den Server kommt - egal wie unwahrscheinlich das ist - einfach alle exe-Dateien die er findet mit nem Virus ersetzen ohne das es jemandem auffällt.

    Nebenbei lernt man dadurch auch evt. das Signaturverfahren kennen und falls man dann irgendwann mal seine Anwendungen mit einem "richtigen" Zertifikat von Verisign o. a. versehen will und bei Chip oder sonstwo veröffentlichen will kennt man das Prinzip schon.

    Edit: Und falls man all das garnicht will, dann installiert man einfach das Root-Zertifikat nicht. Dann bleibt alles so wie vorher, es gibt keine Nachteile.

    Einmal editiert, zuletzt von Arkaneus (15. Oktober 2009 um 16:59)

    Ich würde eher ein Zertifikat für den User geben (zB an Oscar, der hat viele, gute Programme geschrieben und als au3 veröffentlicht. )
    Also wenn ein User viele guite Scripte veröffentlicht, dann bekommte er ein Zertifikat. (zB unter dem ForenRang), an dem man ablesen kann, ob der User vertrauenswürdig ist.
    MfG tobi_girst

    MfG. tobi_girst

    Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »tobi_girst« (Morgen, 25:63)

    • Offizieller Beitrag

    Da wir im Talk sind, können wir das ja etwas breiter diskutieren. :)
    Ich bin der Meinung, das Sicherheitsempfinden sollte bei jedem weit höher angesetzt werden. Ob ich jemandem vertraue ist doch völlig nebensächlich - es kann sein, dass z.B. gerade ein neuer Virus aktiv wurde, dessen Signatur nicht erkannt wurde. Ungewollt schickt ein User das (seiner Meinung nach saubere) Programm in die Welt. Und nur weil er Vertrauen genießt, verbreitet sich so der Virus dankend weiter.
    Wenn schon fremde EXE, erst scannen und dann in der Sandbox starten.

    Das Thema finde ich wichtig. Bin zwar auch der Meinung, dass sich die Zertifikats-Frage auf der AutoIt.de Site nicht stellen sollte, da hier aus den genannten Gründen die .au3 Dateien im Fokus stehen. Wenn ich aber eine .exe an einen User weitergebe, dann kann ihn die Vista-Meldung schon erschrecken. Das führt dann zu Rückfragen mit Überzeugungsarbeit oder hält ihn womöglich ganz davon ab, das Programm zu nutzen.

    Arkaneus, vielleicht könntest Du uns dafür aus Deiner Erfahrung heraus den günstigsten Weg beschreiben, wo ein Programm möglichst einfach und kostengünstig zertifiziert werden kann. Da sich die Frage für mich über kurz oder lang stellt, wäre ich für Deinen Rat sehr dankbar. :)

    MfG ThPfund

    "Es könnte alles so einfach sein..."

    Es gibt sehr ziemlich viele Anbieter fürAuthenticode- Zertifikate, das Problem ist nur, dass die meisten seeehhhr viel Geld dafür verlangen, wie schon gesagt bei Verisign für ein Zertifikat, dass nur 1 Jahr lang gültig ist 499$ (z. Z. ~ 335 €). Es gibt auch einige Anbieter, die günstiger sind, wie zum Beispiel Comodo (1 Jahr ~ 180 €). Es gibt also riesige Unterschiede, die zum Beispiel darauf beruhen, dass Verisign-Zertifikate von mehr Browsern akzeptiert werden (in diesem Fall aber nicht wichtig, nur für Server-Zertifikate), und dass auch viel mehr Benutzer mit dem Namen "Verisign" mehr anfangen können als mit "Comodo CA".
    Seit Einführung von "Extended Validation"-Zertifikaten, bei denen ja immer links in der Adressleiste auch noch der Name der Zertifizierungsstelle erscheint, ist Verisign noch bekannter geworden.

    Kostenlose Zertifikate gibt es bei CAcert (cacert.org), aber dort muss man erst seine Identität bei möglichst vielen schon bestätigten Benutzern auf den Mitglieder-Versammlungen nachweisen. Dann bekommt man von diesen Punkte auf sein Konto und wenn man genug hat erscheint auch der Name im Zertifikat(vorher nur "CAcert WoT User"). Wenn man seine Identität bei einem Notar oda so nachweist kann man auch mehr Punkte auf einmal bekommen. Sobald man dann die 100 Punkte erreicht hat kann man auch Codesigning-Zertifikate beantragen.
    Das größte Problem bei CAcert ist aber immer noch, dass die Zertifikate bisher in Windows noch nicht als Zertifizierungsstelle aufgenommen ist (und wahrscheinlich wird das auch in den nächsten Jahren nicht der Fall sein... :( ).

    Hoffe das beantwortet einige deiner Fragen :)

    Ich denke, du musst SignTool.exe verwenden.
    Ansonsten kannst du versuchen, mit SignerSign ein eigenes Skript zum Signieren zu schreiben.
    Und für den Wrapper für ich #AutoIt3Wrapper_RunAfter verwenden ;)

    Wenn dann ein dezentrales System: Man kann Benutzerzertifikaten vertrauen, die wiederum andere Zertifikate unterschreiben können, etc.

    Macht aber aus bereits genannten Gründen kaum Sinn. Ich führe hier nur exes aus, die von Nutzern stammen, denen ich ausreichend vertraue, und die ich als kompetent genug einschätze, ihre Rechner virenfrei zu halten. Da aber diese User eh nur au3s veröffentlichen (seltsam :rolleyes: ), stellt sich für mich das Problem nicht.

    Twitter: @L3viathan2142
    Benutze AutoIt persönlich nicht mehr, da ich keinen Windows-Rechner mehr besitze.

    L3viathan: Warum nur ist es einfacher, das Vertrauen anderer zu gewinnen wenn man mit offenen Karten spielt?

    Das Zertifikatssystem bringt insofern etwas, da man dadurch die Sicherheit hat, dass das Programm nur von einer Person mit Zugriff auf das Zertifikat kompiliert wurde, also kann niemand die exe unbemerkt austauschen ;) Aber mehr bietet es auch wirklich nicht.

    Wie wäre es denn, wenn die PU oder Admins einstellen können ob eine au3 "gesichert" ist oder "ungetestet", oder "schädlich"?
    Dann könnte man auch unterschiedliche User einstufen, z.B. PUs werden imemr auf "gesichert" gestellt (denke ich mal das niemand von denen was plant ;))
    Aber das ist natürlich Arbeit. Man könnte ja auch die User bestimmen lassen "schädlich" oder nicht. Dann muss man nur hoffen das die Scherzkekse die alles auf "gefährlich" einstufen mal kleinbei geben.

    Ok ^^ da hast du Recht :D Ich denke man bekommt nicht ausversehen hin, alle Windows daten zu löschen ;)
    Dann eben mit sofortiger entfernung^^ aber das können die PU jetzt schon oder? Die können ja auch editieren.

    • Offizieller Beitrag

    Letztlich bleiben wir immer wieder an einem Punkt hängen: Welcher wilde Affe sollte mich beissen, damit ich auf die Idee komme eine EXE zu posten. :wacko:
    Ich habe anfangs viel aus den Skripten anderer gelernt und hoffe, dass meine Skripte wiederum für andere lehrreich sind. Community heißt geben und nehmen. :thumbup: