무결성 검사없는 코드 다운로드

Authenticode와 같은 코드 서명 기술을 사용 합니다. 참조 참조. 교육 Sec503, 우리의 침입 탐지 클래스 지난 주, 우리는 아직 다시 몇 년에서 CVS를 악용에 대 한 서명을 썼습니다. 확실히 그것은 지금까지 오래 된 뉴스의 종류 이다. 그러나 나는 당신이 당신의 소프트웨어의 완전성을 염려 하는 경우에 아주 적시 이다 생각 한다. 당신이 그것에 익숙하지 않은 경우: CVS는 소스 코드 저장소를 관리 하는 데 사용 소프트웨어입니다. CVS 서버의 손상으로 인해이 서버에서 유지 관리 하는 소프트웨어를 더 이상 신뢰할 수 없다는 뜻입니다. 거의 아무도는 CD에서 소프트웨어를 더 이상 설치 한다. 오늘날 대부분의 소프트웨어가 다운로드 되 고 설치 됩니다.

그러나 다운로드가 변조 되었는지 어떻게 ì•Œ 수 있습니까? 신뢰할 수 없는 코드를 실행 하면 응용 프로그램이 손상 되 ê³  사용자에 게 제대로 작동 하지 않을 수도 있습니다. 이 문제는 디지털 서명을 사용 하 ì—¬ 부분적으로 í•´ê²° 됩니다. 디지털 서명은 소프트웨어의 암호화 해시로 시작 하지만이 해시는 이제 개인 키를 사용 하 ì—¬ 서명 됩니다. 아무도이 개인 키를 ì•Œ 필요가, 그리고 멀리 도달 붙이고 그날 아침 ë³´ê´€ 해야 합니다. 공격자는 이제 더 이상 발견 되지 않은 해시를 수정할 수 없게 됩니다. 그러나 서명을 확인 하기 위해 사용자에 게는 공개 키의 사본이 í•„ìš” 합니다. 우리는 공개 키가 정확 하다는 것을 어떻게 확인 합니까? 이는 이미 공개 키가 있거나 대역 외에서 확인할 수 있는 경우에 쉬울 수 있습니다. 그러나 대부분의 경우 서명과 코드를 얻을 ë•Œ 공개 키를 얻습니다. 만약 당신이 외부에서 수업을 받을-처럼, 어딘가에서 다운로드 하거나 클래스 또는 소스 코드를 업로드 하 ê³  그것을 컴파일하는 사용자가 허용-그럼 당신은이 약점에 따라 조치를 취할 필요가 있다. 당신이 사용자 로부터 클래스를 얻으면 당신은 문제가 있다. 🙂 일부 위치에서 보안을 유지 하는 경우 HTTPS를 사용 하거나 직접 서명을 확인할 수 있습니다.

그러나 ë‚´ê°€ 이것이 당신의 케이스가 아니다을 추측 한다. 이 코드에는 데이터베이스 자격 증명을 가져오기 위한 외부 스크립트가 포함 되어 있으므로 데이터베이스에 대해 사용자를 인증 하 ì—¬ 응용 프로그램에 액세스할 수 있습니다. 당신은 아직도 어딘가에 시작 해야 한다. 일부 소프트웨어 배포자는 소프트웨어와 함께 í•´ì‹œ 값을 포함 하는 “체크섬” (또는 “md5sum” 또는 “sha1sum”) 파일을 제공 합니다. 당신이 올바른 체크섬 파일을가지고 가정, 이것은 당신이, 아래 마지막 비트에 올바른 파일을 다운로드 여부를 확인할 수 있습니다; 그리고이 작품에 관계 없이 당신이 어떻게 가능성이 큰 파일을 다운로드 (심지어 일부 그늘진 피어-투-피어 네트워크 또는 온 ì–´ë–¤; 당신은 í•´ì‹œ 기능을 속일 수 없다). 이 코드는 클래스의 체크섬을 확인 하는 경우와 같이 로드 된 클래스가 의도 í•œ 클래스 인지 확인 하지 않습니다. 공격자는 클래스 파일을 수정 하 ì—¬ 악성 코드를 실행할 수 있습니다. 수동 분석은 일반적으로 코드 다운로드를 트리거하는 동작을 찾고 무결성 검사 방법이 사용 중인지 확인 하는 데 í•„ìš” 합니다. -당신이 정기적으로 해시를 사용 하는 경우, 다른 시스템에 다음 원래 소프트웨어를 저장 하 ê³  잘 그들을 확보-m d 5를 사용 하지 않으려고. SHA256 아마도이 시점에서 사용 하는 가장 좋은 알고리즘입니다. 가능 하면 여러 해시를 제공 합니다.-가능한 경우 적절 í•œ 코드 서명 인증서 사용. 위의 코드 줄은 어떻게 보호 합니까? forname (“”)에 대 í•œ 매개 변수가 로드 될 악의적인 클래스가 아니라는 것을 어떻게 확인 해야 합니까? 공격자가 신뢰할 수 없는 코드에 영향을 줄 경우 실행 ì‹œ 공격자가 중요 í•œ 파일에 액세스할 수 있도록 합니다.