Una firma digitale avrebbe impedito il compromesso di CCleaner?

Sulla base dei dettagli incompleti che sono stati rilasciati finora, il codice dannoso è stato inserito prima della compilazione e della firma (ad esempio sul computer di uno sviluppatore o su un server di build). Di conseguenza, la versione compromessa è stata firmata esattamente dagli stessi processi che verrebbero utilizzati dalla versione senza compromessi. Il difetto è stato introdotto prima la firma del binario ha avuto luogo.

Allo stesso modo, un checksum sarebbe stato calcolato in base ai risultati della compilazione, a quel punto il codice dannoso era già presente.

Questo è un punto debole in tutte le architetture di firma - se il processo prima della firma è compromesso, non esiste un modo reale per rilevarlo. Ciò non significa che non siano utili - se gli autori degli attacchi non hanno avuto accesso ai sistemi fino a quando non è stata applicata la firma, la manomissione sarebbe stata rilevata facilmente, poiché la firma non sarebbe stata abbinata.

Essere firmati da un certificato di fiducia e avere un hash pubblico / checksum del codice sono cose diverse.

Il certificato ti dirà (dovrebbe) che il software proviene da una fonte attendibile, ma è così.

Un hash o checksum ti permetterà di verificare che il binario corrisponda all'hash calcolato in origine. In questo caso, tuttavia, l'hash è stato calcolato mentre il codice dannoso era presente nel codice sorgente, rendendo questa particolare protezione a meno che, semmai, aggiunga un falso senso di sicurezza.

Quando offri un hash pubblico o un checksum (supponendo che il codice sorgente non sia stato compromesso), dovresti prendere delle misure per fare in modo che l'hash sia servito da un dominio di terze parti. Immagina una situazione in cui un utente malintenzionato compromette il tuo sito, scambia un file binario originale per un utente malintenzionato, quindi modifica l'hash pubblico che stai visualizzando sul tuo sito. Almeno se è servito da una terza parte, l'attaccante dovrebbe anche compromettere quella terza parte per modificare l'hash.

Ricorda che questo particolare attacco era apparentemente la conseguenza di una macchina per lo sviluppo hacker, quindi nessuno di questi controlli hash / checksum o di firma del codice sarebbe stato comunque utile.