Protezione di un programma di aggiornamento automatico

Devi considerare cosa può fare un attaccante. Può prendere il tuo file di aggiornamento, iniettarlo con malware, calcolare un hash SHA, consegnarlo a uno dei tuoi clienti e infettarli. Il loro computer non lo rifiuterà se guarda solo hash.

Se la tua app accetta solo i file firmati, non può infettarli.

Tuttavia, il controllo dei singoli file potrebbe non essere sufficiente, a seconda del codice. Se si prova solo il codice come una versione completa, l'utente malintenzionato potrebbe trovare un bug di interazione mescolando una versione precedente di uno dei moduli con il codice più recente. Dovresti prendere in considerazione la possibilità di firmare una raccolta di moduli nello stesso gruppo che desideri testare e implementare a. In questo modo, distribuisci solo il cambiamento testato nel suo insieme, mai frammentario.

Questo tipo di attacco è stato perpetrato contro Microsoft Update. Qualcuno potrebbe scaricare l'elenco dei moduli ma poi interferire con il download dei moduli effettivi.

Non solo questo approccio potrebbe ridurre il tuo impatto sugli attacchi, ma potrebbe servire a migliorare l'esperienza dell'utente finale assicurando che stiano installando pacchetti completi che sono esattamente ciò che hai testato. Potrebbe anche aiutare a tenerli fuori da "DLL inferno".

Probabilmente firmerei i file con una chiave non accessibile a Internet o al server di aggiornamento e installerò solo i file firmati da quella chiave. Questo impedisce a un compromesso del tuo server di essere in grado di compromettere i tuoi clienti.

SSL dovrebbe aiutare a garantire che i tuoi client non si connettono a un server degli hacker, ma non proteggerà i tuoi client se il tuo server è compromesso. L'unico modo per proteggerli è assicurarsi che il server non possa pubblicare un file che il programma di aggiornamento accetterà.

Questo approccio mi suona bene.

Poiché la comunicazione è protetta con SSL, non è prontamente possibile che un utente malintenzionato inserisca un file dannoso. Certo, il protocollo SSL ha alcuni problemi, ma se un utente malintenzionato può rompere l'SSL, può fare tutti i tipi di cose brutte.

Naturalmente ti stai fidando del fornitore del software. Potrebbero inserire il codice dannoso in un aggiornamento. Ma poi, devi fidarti di loro comunque - potrebbero aver fatto scivolare il codice dannoso nella versione iniziale che stai già utilizzando. Inoltre, se non mantengono i loro sistemi protetti, una terza parte potrebbe entrare e distribuire aggiornamenti dannosi.

Gli aggiornamenti dovrebbero essere sicuramente firmati. Basta spedire la chiave pubblica con l'app e firmare gli aggiornamenti con la chiave privata corrispondente. Se la firma non corrisponde, l'aggiornamento non viene da te e non viene installato.

Puoi fare in modo che GPG faccia il lavoro pesante. Questa tecnica è estremamente comune.