Microsoft Update カタログのダウンロードリンク、HTTPS に変更される 18
ストーリー by headless
変更 部門より
変更 部門より
Microsoft が Microsoft Update カタログのダウンロードリンクを HTTPS に変更した
(Ghacks の記事、
Deskmodder.de の記事、
Borns IT- und Windows-Blog の記事)。
Microsoft Update カタログの Web サイト自体は以前から HTTPS で提供されていたが、生成されるダウンロードリンクが HTTP だったため、多くの環境でブラウザーにブロックされてファイルがダウンロードできない状況になっていた。今回の変更に伴ってダウンロードリンクのドメインがこれまでの「download.windowsupdate.com」から「catalog.s.download.windowsupdate.com」に変わったが、旧リンクからのダウンロードも可能なようだ。
Microsoft Update カタログの Web サイト自体は以前から HTTPS で提供されていたが、生成されるダウンロードリンクが HTTP だったため、多くの環境でブラウザーにブロックされてファイルがダウンロードできない状況になっていた。今回の変更に伴ってダウンロードリンクのドメインがこれまでの「download.windowsupdate.com」から「catalog.s.download.windowsupdate.com」に変わったが、旧リンクからのダウンロードも可能なようだ。
旧リンクからのダウンロードも可能 (スコア:2, 興味深い)
Microsoft Update カタログはSHA-1廃止の例外扱いになっていて、いまだにWindows XP時代の更新プログラムも提供されているみたいだからね
スラドに聞け!ソフトウェアのintegrity (スコア:0)
皆さんは普段から何かしらのソフトウェア(WindowsやGNU/Linuxのインストール用イメージ、各種アプリケーションのソースコードやビルド済みバイナリなど)をダウンロードして使っていることかと思いますが、その際にダウンロードしたファイルが改竄されていないかを確認していますか?
これにはいくつか宗派があると思いますが、ポイントとなるのはこのへんですかね?
- HTTP/HTTPS
- 公式のサーバーか否か
- ハッシュ値の確認
- 電子署名の確認
「何もやっていない」という人もいれば、「公式のサイトからhttpsでダウンロードしていればOK」という人もいるでしょうし、「一応ハッシュ値をSHA256SUMSとかの値と比較する」「電子署名を必ず確認する」といった人もいるでしょう。皆さんの意見をお聞かせください。
Re: (スコア:0)
インストールイメージで良くあるisoは電子署名をそのままだと付けられないのが難点。
破損チェックも含めてファイルサイズとハッシュ値チェックはしてる。
気休めだけどハッシュ値は別サーバから持ってきて比較してる。
ハッシュ値や電子署名をチェックしてるので、ダウンロードはhttpやftpでもいっかって感じ。
Linuxなら、aptとかのパッケージマネージャーが勝手に電子署名チェックしてるとかじゃないかな。
Re: (スコア:0)
基本的に何もしない派。理論的に侵害はありえるし、実際に侵害された事例はいくかあるけど、「改ざんを確認していれば防げた」という事例は寡聞にして知らないので。
Windowsバイナリのハッシュ値が提供されていることはほとんどないし、個人開発者のコードサイニング証明書取得のハードルは高いし。最初から署名されていなかったのか、改ざんで署名が剥がれたのか区別できないし。
社内数十人以上で使うパッケージなら一応ハッシュ値の比較を試みることはあるけど、それは改ざんの有無を確認するためではなく、ダウンロードが成功しているか確認するため。
Re: (スコア:0)
ESDファイルは、署名の確認が容易でないので、ハッシュで確認するのが普通。ちゃんとFileDigestってのが通知されてる。
ただし、そのSOAPの通信はただのTLSなので、せいぜいTLSの証明書を確認するしかない。
Re: (スコア:0)
> 個人開発者のコードサイニング証明書取得のハードルは高いし。最初から署名されていなかったのか、改ざんで署名が剥がれたのか区別できないし。
Windowsで署名が正しく検証されればファイルのプロパティのデジタル署名に「このデジタル署名は問題ありません。」と表示されるところ、署名されたファイルが改変されていれば「このデジタル署名は有効ではありません。」と表示されるぞ。
無署名とファイル改変での署名検証失敗はちゃんと区別される。
Re: (スコア:0)
攻撃者がご丁寧に元のデジタル署名プロパティを残していてくれれば、ね。
バイナリ改ざんするスキルのある攻撃者なら無効なデジタル署名は削除するだろうし、
スキルのない攻撃者なら無署名の攻撃ツールに丸々差し替えるだけなんで、
「このデジタル署名は有効ではありません。」と表示される想定はほぼありえないですね。
Re: (スコア:0)
なので一般的には改ざん確認の手間がセキュリティ効果に見合わないんだよねぇ
デジタル署名のあるバイナリしか実行しないポリシーなら話は変わってくるけど
Re: (スコア:0)
署名検証失敗したファイルのプロパティにデジタル署名タブは表示されねえけど
Re: (スコア:0)
ん? いや、それは表示されるよ。手元でも確認してる。
Re: (スコア:0)
決定的に重要なものは、電子署名 > ハッシュ値 > 出所、とみてる。CDNの場合、httpでも問題にしない。
どうでもいいものはノーガード。ただし、OSインスタンスごと定期的に使い捨て。
アップデートのアクセス先 (スコア:0)
Re: (スコア:0)
AkamaiとかAzureのCDNでしょ。
別のプロパイダなら別のIPアドレスになるだろうね。
Re: (スコア:0)
接続中の回線(DNSサーバ)によって変わるみたいだから何とも
キャッシュできなくなるじゃないか (スコア:0)
proxyでキャッシュさせて社内トラフィックを抑えていたのに・・・
WSUS入れなあかんか
Re: (スコア:0)
下ネタかよ