Zitat von
MaBuSE:
[...]
Zitat von
BenBE:
Derzeit suche ich noch nach einer Möglichkeit um die in meinem Scanner einfließenden Signaturen gegen Manipulationen zu sichern.
Das wird schwierig werden, da Du ja auch die Möglichkeit bieten solltest bewust durchgeführte Änderungen an der
VCL (z.B. eigene Bugfixes) zuzulassen.
Sprich eigene Signaturen zu erzeugen zu können. Eine Möglichkeit wäre z.B. bei Installation des Scanners ein Passwort zu erfragen, das beim erstellen eigener Signaturen wieder anzugeben ist.[...]
Oder mittels asymmetrischer Verschlüsselung eine Signatur erstellen, welche mit dem Geheimen Schlüssel erstellt wurde, und nachher dann mittels des öffentlichen Schlüssels verifiziert werden kann. Das heißt, ohne wissen des geheimen Schlüssels (denn man ja symmetrisch verschlüsseln kann) kann keiner (also auch nicht der Virus) eine gültige Signatur erstellen.
Ich weiß nicht, ob das sicher oder optimierbar ist, aber ich würde das so machen:
- Geheimen/Öffentlichen Schlüssel erstellen
- Geheimen mittels einer symmetrischen Verschlüsselung (z.B. AES oder Twofish) verschlüsseln
- Einen Hash (z.B. MD5 oder SHA) der verwendeten DCUs erstellen
- Diese Hashes in einer Datei zusammenfassen
- Diese Datei dann mithilfe des geheimen Schlüssels asymmetrisch verschlüsseln
Jetzt kann man beim Start:
- Ein Hash jeder DCU erstellen
- Die Hashdatei mithilfe des öffentlichen Schlüssels entschlüsseln
- Die Ergebnisse vergleichen
Der Vorteil dieser Hashdatei ist, dass diese Datei ausgetauscht werden kann.
Ich weiß jetzt nicht, ob das
DEC auch asymmetrische Verschlüsselungen unterstützt.
Zitat von
MaBuSE:
Zitat von
BenBE:
P.S.: Eine verifizierbare GnuPG-Signatur bei deiner EXE wäre nicht schlecht
Klingt gut, aber ich muß mich erst mal schlau machen was GnuPG Signaturen sind
Einfach gesagt: Das ist ein Verschlüsselter Hash (so ähnlich wie ich das oben vorgeschlagen habe). Dabei ist aber die Verschlüsselung asymmetrisch und damit kann jeder die Signatur entschlüsseln (in der Regel benutzt man es andersherum: Der Sender verschlüsselt die Informationen mit den Öffentlichen Schlüssel und dann kann der Empfänger mithilfe des geheimen Schlüssels die Informationen entschlüsseln).
Ich habe versucht mal eine Signatur zu erstellen, aber ich kriege es nicht hin GPG zu sagen, welchen Schlüssel er nehmen soll 
Ha die Option "-u" tuts
So im Anhang meine Signatur der zip-Datei der Exe (also nicht des Quellcodes). Den öffentlichen Schlüssel bekommt ihr da
hier.
MfG
xZise