Τα Process και ανάλυση των Windows εγγυημένα

[Peperone]

Ένα από τα καλύτερα, αν όχι το καλύτερο, δωρεάν πρόγραμμα από τη Sysinternals που το διανέμει η Microsoft για αναγνώριση των προγραμμάτων που τρέχουν στα Windows, τις τοποθεσίες τους και κάθε τι που τρέχει το σύστημα σας κατά τη διάρκεια της εκκίνησης ή της σύνδεσής σας είναι το Autoruns.

Στο Autoruns μπορείτε να δείτε σχεδόν τα πάντα σχετικά με το συστημά σας. Ακόμα μπορείτε να ανιχνεύσετε ποια προγράμματα είναι ύποπτα για ιούς ή την αστάθεια του συστήματός σας (θα δούμε παράδειγμα παρακάτω).

 

Όπως θα δούμε όταν τρέξουμε το πρόγραμμα εκτός ότι είναι πολύ ελαφρύ είναι και πολύ απλό. Έχει καρτέλες που ξεχωρίζει σε διάφορα μέρη αυτά που τρέχει το σύστημα. Εμείς θα επικεντρωθούμε στη καρτέλα «Evrething» όπου είναι συγκεντρωμένο οτιδήποτε τρέχει. Με το που ξεκινάει το πρόγραμμα γίνεται αναζήτηση των στοιχείων και όταν ολοκληρωθεί κάτω αριστερά θα φανεί η ένδειξη «Ready». Βλέπουμε τέσσερις στήλες «Autorun Entry»(Καταχώρηση εκκίνησης), «Description»(Περιγραφή), «Publisher»(Κατασκευαστής), «Image Path»(Τοποθεσία αρχείου).

Σημαντικό είναι στη στήλη «Publisher» να υπάρχει ο κατασκευαστής σε κάθε καταχώρηση έτσι ώστε το αρχείο να είναι ψηφιακά υπογεγραμμένο. Αν δεν υπάρχει το όνομα του κατασκευαστή ΤΟΤΕ η καταχώρηση είναι ύποπτη με πολλές πιθανότητες να είναι virus, spyware, κ.λ.π.

Παράδειγμα

Όπως βλέπουμε στην παρακάτω εικόνα στις δυο επιλεγμένες καταχωρήσεις δεν υπάρχει ούτε περιγραφή «Description» αλλά ούτε ο κατασκευαστής «Publisher».

Οι καταχωρήσεις είναι ύποπτες διότι δεν έχουν ψηφιακή υπογραφή. Μπορούμε να καταλάβουμε από ποιο πρόγραμμα προέρχεται από τη τοποθεσία του αρχείου «Image Path». Επίσης με δεξί κλικ ή (CTRL+ M) στη καταχώρηση και από το μενού μπορούμε να κάνουμε απευθείας αναζήτηση στο διαδίκτυο για τυχόν αναφορές του αρχείου.

Μπορείτε επίσης να την διαγράψετε τη καταχώρηση ή να μεταβείτε στη τοποθεσία που είναι γραμμένο στο μητρώο κ.λ.π.

Κατά κανόνα η καλύτερη διαγραφή των καταχωρήσεων πρέπει να γίνεται μετά την απεγκατάσταση των αντίστοιχων προγραμμάτων που τη δημιουργούν διότι αυτά δε θα λειτουργούν σωστά (ή και καθόλου) αν διαγραφούν οι καταχωρήσεις.

Τέλος το σύστημα σας θα έχει τις μεγαλύτερες πιθανότητες σταθερότητας και θα είναι καθαρό αν όλες οι καταχωρήσεις είναι ψηφιακά υπογεγραμμένες.

[PCharon]

Σημαντικό είναι στη στήλη «Publisher» να υπάρχει ο κατασκευαστής σε κάθε καταχώρηση έτσι ώστε το αρχείο να είναι ψηφιακά υπογεγραμμένο.

 

Οι καταχωρήσεις είναι ύποπτες διότι δεν έχουν ψηφιακή υπογραφή.

 

Τέλος το σύστημα σας θα έχει τις μεγαλύτερες πιθανότητες σταθερότητας και θα είναι καθαρό αν όλες οι καταχωρήσεις είναι ψηφιακά υπογεγραμμένες.

Φαγώθηκες με την "ψηφιακή υπογραφή". Δεν πρόκειται για καμία "ψηφιακή υπογραφή", αυτό που δείχνει στο Publisher είναι το text string που υπάρχει (αν υπάρχει) στη θέση "Company" του version information resource του εκτελέσιμου αρχείου. Οποιοσδήποτε μπορεί να γράφει εκεί αυθαίρετα οτιδήποτε ή και να μη γράφει τίποτα (δεν είναι απαραίτητο), χωρίς να αποτελεί κάποιου είδους απόδειξη.

 

 

Τέλος το σύστημα σας θα έχει τις μεγαλύτερες πιθανότητες σταθερότητας και θα είναι καθαρό αν όλες οι καταχωρήσεις είναι ψηφιακά υπογεγραμμένες.

Ό,τι νά 'ναι...

 

[Peperone]

Φαγώθηκες με την "ψηφιακή υπογραφή". Δεν πρόκειται για καμία "ψηφιακή υπογραφή", αυτό που δείχνει στο Publisher είναι το text string που υπάρχει (αν υπάρχει) στη θέση "Company" του version information resource του εκτελέσιμου αρχείου. Οποιοσδήποτε μπορεί να γράφει εκεί αυθαίρετα οτιδήποτε ή και να μη γράφει τίποτα (δεν είναι απαραίτητο), χωρίς να αποτελεί κάποιου είδους απόδειξη.

 

 

 

Ό,τι νά 'ναι...

Ναι οποιοσδήποτε μπορεί να γράψει δεν αντιλέγω. Αλλά δεν γράφονται τα ύποπτα αρχεία πρώτον, και δεύτερον μπορείς με δεξί κλικ να κάνεις Verify ώστε να δεις αν επαληθεύεται το αρχείο ώστε να είσαι πιο σίγουρος.

Όσον αφορά την έκφραση μου ως ψηφιακή υπογραφή ας την αλλάξουμε με πιστοποιημένο αρχείο.

[PCharon]

Και "πιστοποιημένο" να το πεις το Company info, πάλι λάθος είναι, δεν έχει καμία σχέση με οποιαδήποτε πιστοποίηση αυτό που γράφει κάτω από το Publisher, εξήγησα τί είναι.

 

Έπειτα έχεις μπερδευτεί και συγκεκριμένα συγχέεις το version info με το code signing (verify). Το δεύτερο αναφέρεται σε μια ψηφιακή υπογραφή που χρησιμοποιούν ορισμένοι μόνο software developers, διότι η τεχνολογία αυτή κοστίζει απ'όσο ξέρω και δεν είναι κάτι απαραίτητο για όλους, συνήθως για μεγάλες εταιρείες λογισμικού.

https://www.verisign.com/code-signing/index.html

http://www.instantssl.com/code-signing/

 

Συνεπώς αν η στήλη είναι κενή μπορεί πολύ απλά να μην υπάρχει company info ή ούτε καν versioning info και αν πατήσεις verify και βγάλει αρνητικό πιθανότατα αυτός που εκδίδει το λογισμικό δε χρησιμοποιεί αυτή την τεχνολογία.

[Peperone]

Και "πιστοποιημένο" να το πεις το Company info, πάλι λάθος είναι, δεν έχει καμία σχέση με οποιαδήποτε πιστοποίηση αυτό που γράφει κάτω από το Publisher, εξήγησα τί είναι.

 

Έπειτα έχεις μπερδευτεί και συγκεκριμένα συγχέεις το version info με το code signing (verify). Το δεύτερο αναφέρεται σε μια ψηφιακή υπογραφή που χρησιμοποιούν ορισμένοι μόνο software developers, διότι η τεχνολογία αυτή κοστίζει απ'όσο ξέρω και δεν είναι κάτι απαραίτητο για όλους, συνήθως για μεγάλες εταιρείες λογισμικού.

https://www.verisign.com/code-signing/index.html

http://www.instantssl.com/code-signing/

 

Συνεπώς αν η στήλη είναι κενή μπορεί πολύ απλά να μην υπάρχει company info ή ούτε καν versioning info και αν πατήσεις verify και βγάλει αρνητικό πιθανότατα αυτός που εκδίδει το λογισμικό δε χρησιμοποιεί αυτή την τεχνολογία.

Δε κατάλαβες την απλότητα του συλλογισμού μου. Μερικά αρχεία, έχουν όντως ψηφιακές υπογραφές (όσο προχωράει η τεχνολογία θα οδηγηθούν έτσι ώστε τα περισσότερα, αν όχι όλα να έχουν ψηφιακή υπογραφή) αλλά αν γραφτεί το όνομα μιας εταιρίας είναι σαν να βάζεις υπογραφή αν τη βάλει κάποιος αντί άλλου τότε είναι πλαστογραφία. Αυτό ήθελα να τονίσω.

[PCharon]

Ακόμα μπερδεμένος είσαι. Σε έχει μπερδέψει το γεγονός πως το πρόγραμμα βάζει τη λέξη verified δίπλα από το company info. Σε κάθε περίπτωση όπως τα γράφεις είναι λάθος.

 

Τέλος πάντων, γι αυτό που προσπαθείς να πεις, να προσθέσω πως εκτός του ότι τα περισσότερα λογισμικά δεν χρησιμοποιούν code signatures, μερικά άλλα έχουν ψηφιακές υπογραφές σχετικά με "Microsoft Windows Compatibility" και ομοίως, που ναι μεν γίνονται verified αλλά καμία σχέση δεν έχει αυτό με την αξιοπιστία του αρχείου (δεν είναι code signature), ακόμα και να τα τροποποιήσεις συνεχίζουν να κάνουν verify, οπότε...

[Peperone]

Λοιπόν να ξεκαθαρίσω τη θέση μου όσον αφορά τη ψηφιακή υπογραφή.

Υπάρχουν τριών ειδών αρχεία. (Εγώ τα θεωρώ όλα σαν ψηφιακά υπογεγραμμένα, απλά και μόνο γιατί υπάρχει το όνομα κάποιας εταιρίας. Η υπογραφή είναι το όνομα της εταιρίας. Δεν είναι χειροποίητη, είναι με ψηφία άρα είναι ψηφιακή).

Τώρα

Πρώτον

Τα αρχεία με ψηφιακή υπογραφή. Δηλαδή αν πάμε στις Ιδιότητες του αρχείου fsui.exe όπως φαίνεται παρακάτω.

Βλέπουμε τη καρτέλα «Ψηφιακές υπογραφές» σε αυτό το αρχείο έχει προστεθεί ψηφιακή υπογραφή με αλγόριθμο.

Αυτά τα αρχεία έχουν το μεγαλύτερο βαθμό ασφάλειας.

 

Δεύτερον

Τα αρχεία που επαληθεύονται «Verified» αλλά έχουν μικρότερη ασφάλεια από αυτά που έχουν ψηφιακή υπογραφή με αλγόριθμο. Όπως αν δούμε τις Ιδιότητες του Explorer.exe.

 

Τρίτον

Τα αρχεία που δεν επαληθεύονται, «Not verified» έχουν όμως το όνομα κάποια γνωστής επί το πλείστον εταιρίας και τα αναγνωρίζουμε οπτικά. Έχουν βέβαια ακόμα πιο μικρότερη ασφάλεια. Έστω το αρχείο hpqsmon.exe στις «Ιδιότητες» βλέπουμε την παρακάτω εικόνα.

Όλα τα παραπάνω αρχεία τα θεωρούμε ανάλογα το βαθμό αξιόπιστα, έστω και αν κάποιος μπορεί να πλαστογραφήσει τα στοιχεία. Φανταστείτε πόσο αξιόπιστο είναι ένα αρχείο όταν δεν έχει καν όνομα κατασκευαστή.

[PCharon]

Η υπογραφή είναι το όνομα της εταιρίας. Δεν είναι χειροποίητη, είναι με ψηφία άρα είναι ψηφιακή.

Ορέ συ, θα μας ζουρλάνεις τελείως? Ε, τότε και τούτο 'δω το κείμενο που γράφω εγώ τώρα είναι ψηφιακή υπογραφή!

 

Δε με ενδιαφέρει προσωπικά το τί αυθαίρετα θεωρείς "ψηφιακή υπογραφή" και τί όχι, ή το τί θεωρείς αξιόπιστο και τί όχι με βάση... το company info (δηλαδή όσοι προγραμματιστές δε βάζουν το version resource είναι αναξιόπιστοι? όσοι δεν πληρώνουν για code signing επίσης? για τ'όνομα...). Σου εξήγησα συγκεκριμένα τί είναι αυτά όπου αναφέρεσαι, πότε μπορεί να υφίστανται και πότε όχι και πόση σημασία έχουν για το σκοπό που τα ορίζεις. Μη μπερδεύεις τον κόσμο με θεωρίες "λιγότερο - περισσότερο".

[Peperone]

Ορέ συ, θα μας ζουρλάνεις τελείως? Ε, τότε και τούτο 'δω το κείμενο που γράφω εγώ τώρα είναι ψηφιακή υπογραφή!

 

Δε με ενδιαφέρει προσωπικά το τί αυθαίρετα θεωρείς "ψηφιακή υπογραφή" και τί όχι, ή το τί θεωρείς αξιόπιστο και τί όχι με βάση... το company info (δηλαδή όσοι προγραμματιστές δε βάζουν το version resource είναι αναξιόπιστοι? όσοι δεν πληρώνουν για code signing επίσης? για τ'όνομα...). Σου εξήγησα συγκεκριμένα τί είναι αυτά όπου αναφέρεσαι, πότε μπορεί να υφίστανται και πότε όχι και πόση σημασία έχουν για το σκοπό που τα ορίζεις. Μη μπερδεύεις τον κόσμο με θεωρίες "λιγότερο - περισσότερο".

Εγώ δε μπερδεύω κανένα. Λέω την άποψη μου, εσύ λες τη δική σου και ο κόσμος θα βγάλει το συμπέρασμα και θα κρίνει.

[PCharon]

Δεν είπα καθόλου την άποψή μου. Είπα τεχνικά τί ρόλο βαράνε αυτά όπου αναφέρεσαι.

 

Λίγο ακόμα αν επιμείνεις θα αρχίσω να νομίζω πως κάνεις promotion στη VeriSign...

[Peperone]

Δεν είπα καθόλου την άποψή μου. Είπα τεχνικά τί ρόλο βαράνε αυτά όπου αναφέρεσαι.

 

Λίγο ακόμα αν επιμείνεις θα αρχίσω να νομίζω πως κάνεις promotion στη VeriSign...

 

Έχεις χιούμορ. Πολύ θα ήθελα να κάνω promotion τη VeriSing αλλά δε φτάνω μέχρι εκεί ακόμα...

[PCharon]

Έχω χιούμορ μόνο για μένα. Τα γράφω, τα διαβάζω μόνος μου και χαίρομαι!

[Επισκέπτης]

Πολύ ωραίο και εύχρηστο πρόγραμμα,ευχαριστούμε που το μοιράστηκες μαζί μας

[dkoum]

δεν χρειαζεται να "μαλωνετε" σε γενικες γραμμες ειναι πολυ χρησιμα προγραμματα για να βλεπουμε τι προγραμματα τρεχουν και τους πορους που χρισημοποιουν

 

μερικες λειτουργιες τους εχουν μπει στο resource monitor των windows 7

[Peperone]

Παραθέτω την καινούρια έκδοση του Process Explorer v14.1 από τη Sysinternals της Microsoft

 

 

Download