Hallo,

stimmt es das wenn man seine EXE-Files (mit offizieller Stelle) mit eine Signatur versieht, dass diese dann bei Virenscanner eher zu keinen Fehlmeldungen kommen kann?

Ich hab davon gehört, dass Virenscanner die Einschränkungen der unbekannten Programme höher bei Registry und Verzeichnisse halten als mit Signatur. Weiters soll mit Signatur auch der Heuristikscanner bei dieser File nicht angewendet werden.

Das wäre sicherheitstechnisch allerdings ein großes Problem. Dann müsste man ja nur noch ein Zertifikat dem Rechner unterschieben.

Dafür müsste man Adminrechte erlangen, aber wenn ein neues (vorher nicht erkanntes) Virus dann einmal angeblich zertifiziert ist, dann würde es nicht mehr richtig gescannt? Sowas wäre doch Schwachsinn...

Zertifikate sagen nichts darüber aus, ob ein Programm gut oder böse ist, sie sagen nur, dass ein Programm aus der angegebenen Quelle stammt. Das heißt wenn da eine bekannte Firma steht, dann weiß man, dass es auch von dieser Firma kommt.

Wie kommst du denn darauf? Und welcher Virenscanner soll das denn so machen?

Hallo,

Kaspersky zum Beispiel. Wenn nun der Heuristik Scanner einen höheren Normalwert als sonst errechnet kommt das Tool in die nicht Vertrauenswürdigen Beschränkungen. Bei Programmen mit einer Signatur kommt er trozdem unter Schwache Beschränkungen. Ich meine nicht das er Signierte-EXEs nicht mehr scannt, sonern der Heuristikscanner wird hier warscheinlich nicht zur Geltung kommen. Der hat nichts mit der Virendatenbank zu tun.

jaenicke hat folgendes geschrieben :

Das wäre sicherheitstechnisch allerdings ein großes Problem. Dann müsste man ja nur noch ein Zertifikat dem Rechner unterschieben.

ACK

jaenicke hat folgendes geschrieben :

Dafür müsste man Adminrechte erlangen, aber wenn ein neues (vorher nicht erkanntes) Virus dann einmal angeblich zertifiziert ist, dann würde es nicht mehr richtig gescannt?

Fände ich auch bedenklich ...

jaenicke hat folgendes geschrieben :

Sowas wäre doch Schwachsinn...

Korrekt.

jaenicke hat folgendes geschrieben :

Zertifikate sagen nichts darüber aus, ob ein Programm gut oder böse ist, sie sagen nur, dass ein Programm aus der angegebenen Quelle stammt.

Korrekt. UND, dass es seit der Unterschrift nicht mehr verändert wurde*.

jaenicke hat folgendes geschrieben :

Das heißt wenn da eine bekannte Firma steht, dann weiß man, dass es auch von dieser Firma kommt.

Ich erinnere mich daran, dass mal ein findiger Hacker ein offiziell für Microsoft ausgestelltes Zertifikat zugeteilt bekommen hat. Das hatte er zwar nicht lange, aber er hatte es

jaenicke hat folgendes geschrieben :

Wie kommst du denn darauf? Und welcher Virenscanner soll das denn so machen?

Vor allem: Welchen Virenscanner sollte man deshalb nicht mehr nutzen (außer gar keinen, wie es Fefe empfiehlt, was aber andere Gründe hat).

*theoretisch; rein Praktisch wurde dies bereits geknackt. Sowohl für Microsofts Zertifizierungslösung als auch für Java und eine Reihe anderer Systeme.

Edit: Das Vorhandensein einer Signatur der EXE wird als ein "Whitelisting"-Kriterium aufgefasst durch die Heuristik, was die Wahrscheinlichkeit für "ist ein Virus" reduziert. Wenn andere Kriterien etwas anderes aussagen, geschieht dennoch eine Sperrung. Das ist ähnlich dem Regelwerk von diversen Heuristischen Spamfiltern wie SpamAssassin.

Anyone who is capable of being elected president should on no account be allowed to do the job.
Ich code EdgeMonkey - In dubio pro Setting.