Цифровая подпись инсталлятора

[Williams]

Имеется инсталлятор, который подписан как на приложенном скриншоте. Под синим цветом имя известной компании. Можно доверять такой подписи, нельзя ли туда дописать, например, троян, без того, чтобы подпись стала невалидной?

[iGrok]

Имеется инсталлятор, который подписан как на приложенном скриншоте. Под синим цветом имя известной компании. Можно доверять такой подписи, нельзя ли туда дописать, например, троян, без того, чтобы подпись стала невалидной?

В целом, можно. Цифровая подпись содержит хеш подписанных данных.

[alibek]

В целом нельзя.
Подделать подпись — нетривиальное занятие.

[Williams]

В целом нельзя.
Подделать подпись — нетривиальное занятие.

Насколько сложно подделать? Время требуется?

[alibek]

Смотря какая подпись.
Какая используется в инсталляторах — никогда не интересовался. Если на основе MD5, то в принципе за пару недель есть шанс найти коллизию.

[iGrok]

В целом нельзя.
Подделать подпись — нетривиальное занятие.

Ты про "нельзя доверять", или "нельзя подделать"?

В целом можно - это я про "Можно ли доверять". Т.к. дописать туда троян без нарушения подписи нельзя, нужно будет заново подписывать файл, а это занятие, как ты уже сказал, нетривиальное, и шанс, что этим будут заниматься троянописатели ничтожно мал. Овчинка выделки не стоит. Ну и уж 100% можно быть уверенным, что файл не заражён гуляющим по компу вирусом, т.к. вирус нарушит подпись.

[alibek]

Ну я, собственно, про то же.

[jangle]

Имеется инсталлятор, который подписан как на приложенном скриншоте. Под синим цветом имя известной компании. Можно доверять такой подписи, нельзя ли туда дописать, например, троян, без того, чтобы подпись стала невалидной?

Если подпись принадлежит известной компании, то не бойтесь. Троянов там быть не может. Подделать подпись нельзя.

[Williams]

Я тоже думаю. Для троянов слишком большие трудозатраты. Просто было некоторое подозрение, потому решил уточнить.

[Ronin]

А что нужно сделать, что-бы создать такую подпись?

[alibek]

Получить сертификат, заверенный одним из корневых центров сертификации и позволяющий ставить подпись.
Либо (для некоторых видов программ) отправить исходники на проверку в определенную организацию, после чего их там проверят и подпишут.

[Хакер]

(для некоторых видов программ)

А можно подробнее? Что за вид такой.

Да и как в таких случаях поступать организации, если исходники конфиденциальны.

[alibek]

Макросы VBA, апплеты для J2ME и т.п.
Если исходники конфиденциальный и автор не хочет их показывать, значит он не получит подписи.
Впрочем, он может подписать свою программу своей собственной подписью (не заверенной корневым центром сертификации). Если он при этом убедит пользователей добавить свой самодельный CA с список корневых CA, тогда это тоже будет решением.