Завантаження Microsoft Security Essentials через HTTPS

9

Я хочу завантажити Microsoft Security Essentials на свій абсолютно новий домашній ПК Windows 7. Офіційний сайт, представлений мені, http://windows.microsoft.com/de-CH/windows/products/security-essentials , оскільки я перебуваю у Швейцарії. Посилання на фактичний пакет:

http://go.microsoft.com/fwlink/?LinkID=231276

Завантаження не захищено HTTPS. Чому? Хіба це не перше, що має зробити Microsoft? Вони навіть могли доставити сертифікат вже в ОС, щоб зробити його справді безпечним.

— Марсель
джерело

15

Це звичайний HTTP, оскільки все програмне забезпечення Microsoft все одно має цифровий підпис; підпис вбудовується у .exeфайл та перевіряється Windows при запуску. (Я, мабуть, пам’ятаю, що це вимога до всіх файлів, розміщених у їх Центрі завантажень.)

На відміну від HTTPS, підписання фактичного завантаження також означає, що ви можете перевірити підпис скрізь (наприклад, скопійовано з компакт-диска або друга).

— user1686
джерело

Дякую, що мені це пояснили. Зараз я відчуваю себе набагато комфортніше.

— Марсель

Хіба ви не помилилися, вважаючи, що якщо на вас напали MITM, ви все ще завантажуєте програмне забезпечення Microsoft? Це насправді миле місце для побудови ботнету якоїсь форми, як я це бачу.

— Штейнбітліс

6

Передача через SSL не забезпечує завантаження більш безпечним у тому, як ви думаєте. SSL просто приховує дані, які ви надсилаєте та отримуєте. Так, наприклад, якщо ви надсилаєте номер кредитної картки або входите через Інтернет, HTTPS-з'єднання не дозволить будь-якому вищому користувачеві знати, який вміст даних, які ви надіслали.

Передача фіксованого файлу із зашифрованого джерела була б лише в кращому випадку незначно кращою, оскільки вміст того, що ви отримуєте, вже є загальнодоступним. Навіть якщо це було на HTTPS, якщо хтось мав дані про те, куди ви передаєте / отримуєте в / з, він все одно може вивести, що ви завантажуєте.

— Джефф Ф.
джерело

4

Не зовсім правда. SSL також гарантує, що сервер, до якого ви підключаєтесь, був перевірений органом сертифікації, якому ви довіряєте, таким, яким вони говорять (наприклад, microsoft.com). Це означає, що ви можете бути відносно впевнені, що ви насправді підключаєтесь до серверів Microsoft, а не якийсь поганий хлопець, який здійснює атаку MITM.

— важкий

1

@jeff F.: Мені подобається, коли хто знає, що я завантажую пакунок (я також рекламу це в суперпопулярному :-)) Але я хочу бути впевненим, що я фактично отримую те, що шукав, а не щось ще.

— Марсель

1

@Marcel heavyd вірно стосується атаки MITM, але для цього типу атаки потрібен додатковий доступ.

— Джефф Ф.

5

Microsoft не використовує HTTPS, оскільки ви фактично не завантажуєте файл із серверів Microsoft. Файли доставляються за допомогою сервера, яким Microsoft не володіє та не керує.

Посилання для завантаження, яке ви опублікували, - це лише посилання на переадресацію, яке на моїй машині врешті вирішено

http://mse.dlservice.microsoft.com/download/A/3/8/A38FFBF2-1122-48B4-AF60-E44F6DC28BD8/enus/x86/mseinstall.exe

Якщо ви граєте з URL-адресою та робите HTTPS, ви отримуєте помилку сертифіката. У повідомленні в Chrome написано:

Ви намагалися зайти на mse.dlservice.microsoft.com, але натомість ви дійсно дійшли до сервера, що ідентифікує себе як a248.e.akamai.net.

Microsoft, як і багато інших компаній, використовує Мережі доставки вмісту (CDN) для доставки своїх файлів за допомогою сервера, який географічно наближений до їх користувачів. У цьому випадку Akamai - це CDN, який обслуговує завантаження Microsoft.

— обтяжений
джерело

якщо URL читає microsoft.com, як воно походить з іншого джерела?

— Моаб

@Moab, Microsoft вказує на сервери Akamai у своїх записах DNS. Коли ви шукаєте певний запис DNS, він містить запис CNAME на серверах Akamai, серед інших записів.

— важкий

4

Немає необхідності завантажувати через HTTPS. Все програмне забезпечення на їх завантажувальному центрі підписується Microsoft та засвідчується автентифікацією під час встановлення.

— Вессел
джерело

-1

Якщо у вас встановлений Firefox або Chrome, ви можете спробувати завантажити з Microsoft за допомогою цього плагіна HTTPS Everywhere для цих браузерів. https://www.eff.org/https-everywhere

— j_bombay
джерело