HTTPS के माध्यम से Microsoft सुरक्षा अनिवार्य डाउनलोड करना

Question

मैं अपने ब्रांड के नए विंडोज 7 होम पीसी पर Microsoft सुरक्षा अनिवार्य डाउनलोड करना चाहता हूं। मेरे सामने आधिकारिक साइट http://windows.microsoft.com/de-CH/windows/products/security-essentials है , क्योंकि मैं स्विट्जरलैंड में स्थित हूं। वास्तविक पैकेज का लिंक तब है:

http://go.microsoft.com/fwlink/?LinkID=231276

डाउनलोड HTTPS के साथ सुरक्षित नहीं है। क्यों? क्या यह पहली बात नहीं होगी जो Microsoft को करनी चाहिए? वे वास्तव में सुरक्षित बनाने के लिए ओएस के साथ पहले से ही प्रमाण पत्र वितरित कर सकते हैं।

Answer 1

यह सादा HTTP है क्योंकि सभी Microsoft सॉफ़्टवेयर वैसे भी डिजिटल रूप से हस्ताक्षरित हैं; हस्ताक्षर .exeफ़ाइल में एम्बेडेड है और लॉन्च पर विंडोज द्वारा सत्यापित किया गया है। (मुझे याद है कि यह उनके डाउनलोड केंद्र में पोस्ट की गई सभी फ़ाइलों के लिए एक आवश्यकता है।)

HTTPS के विपरीत, वास्तविक डाउनलोड पर हस्ताक्षर करने का मतलब यह भी है कि आप हर जगह हस्ताक्षर की जांच कर सकते हैं (जैसे कि सीडी या किसी मित्र से कॉपी किया हुआ)।

Comments

मुझे यह स्पष्ट करने के लिए धन्यवाद। मैं अब ज्यादा सहज महसूस करता हूं।

— मार्सेल

क्या आप यह मानने की गलती नहीं कर रहे हैं कि यदि आपने MITM पर हमला किया है, तो आप अभी भी Microsoft सॉफ़्टवेयर डाउनलोड कर रहे हैं? यह वास्तव में कुछ प्रकार के बॉटनेट के निर्माण के लिए एक मीठा स्थान है, जिस तरह से मैं इसे देखता हूं।

— स्टाइनबिटग्लिस

Answer 2

एसएसएल पर प्रसारित होने के कारण आप जिस तरह से सोच रहे हैं, वह डाउनलोड को अधिक सुरक्षित नहीं बनाता है। SSL केवल उस डेटा को छुपाता है जिसे आप भेज रहे हैं और प्राप्त कर रहे हैं। उदाहरण के लिए, यदि आप क्रेडिट कार्ड नंबर भेज रहे हैं या इंटरनेट पर लॉगइन कर रहे हैं, तो HTTPS कनेक्शन किसी भी पीपर को यह जानने से रोक देगा कि आपके द्वारा भेजे गए डेटा की सामग्री क्या है।

एक एन्क्रिप्टेड स्रोत से एक निश्चित फ़ाइल को प्रसारित करना केवल सबसे अच्छा, थोड़ा बेहतर होगा क्योंकि आप जो भी प्राप्त कर रहे हैं वह पहले से ही सार्वजनिक है। यहां तक ​​कि अगर यह HTTPS पर था, अगर किसी के पास यह डेटा था कि आप कहां से / से / के लिए संचारित / प्राप्त कर रहे थे, तो वे अभी भी कटौती कर सकते हैं कि आप क्या डाउनलोड कर रहे हैं।

Comments

पूरी तरह से सच नहीं है। एसएसएल यह भी सुनिश्चित करता है कि जिस सर्वर से आप कनेक्ट हो रहे हैं, वह कुछ प्रमाणपत्र प्राधिकरण द्वारा सत्यापित किया गया है, जिस पर आपको भरोसा है, वे कहते हैं कि वे कहते हैं कि वे (उदाहरण के लिए microsoft.com कहते हैं)। मतलब कि आप अपेक्षाकृत आश्वस्त हो सकते हैं कि आप वास्तव में Microsoft के सर्वर से संबंध रखते हैं, न कि किसी बुरे व्यक्ति ने MITM पर हमला किया है।

— 21

@ जफ एफ: मैं यह जानकर किसी के साथ सहज हूं कि मैं पैकेज डाउनलोड कर रहा हूं (मैं भी सुपरसुसर में यहां विज्ञापन कर रहा हूं :-)) लेकिन मैं यह सुनिश्चित करना चाहता हूं, कि मुझे वास्तव में वह मिले जिसकी मुझे तलाश थी, कुछ नहीं अन्य।

— मार्सेल

@Marcel हैवीड MITM हमले के बारे में सही है, लेकिन उस प्रकार के हमले के लिए पाठ्यक्रम की अतिरिक्त पहुंच की आवश्यकता होती है।

— जेफ एफ।

Answer 3

Microsoft HTTPS का उपयोग नहीं करता है क्योंकि आप वास्तव में Microsoft के सर्वर से फ़ाइल डाउनलोड नहीं कर रहे हैं। फ़ाइलों को सर्वर का उपयोग करके वितरित किया जाता है जो Microsoft के पास स्वयं या नियंत्रण नहीं है।

आपके द्वारा पोस्ट किया गया डाउनलोड लिंक सिर्फ एक रीडायरेक्ट लिंक है, जो मेरी मशीन पर अंततः हल हो गया है

http://mse.dlservice.microsoft.com/download/A/3/8/A38FFBF2-1122-48B4-AF60-E44F6DC28BD8/enus/x86/mseinstall.exe 

यदि आप url के साथ खेलते हैं और इसे HTTPS बनाते हैं, तो आपको प्रमाणपत्र त्रुटि मिलती है। Chrome में संदेश कहता है:

आपने mse.dlservice.microsoft.com पर पहुंचने का प्रयास किया, लेकिन इसके बजाय आप वास्तव में स्वयं को a248.e.akamai.net के रूप में पहचानने वाले सर्वर तक पहुँच गए।

Microsoft, कई अन्य कंपनियों की तरह, सर्वर का उपयोग करके अपनी फ़ाइलों को वितरित करने के लिए सामग्री वितरण नेटवर्क (CDN) का उपयोग करता है जो भौगोलिक रूप से अपने उपयोगकर्ताओं के करीब हैं। इस मामले में अकामाई सीडीएन है जो माइक्रोसॉफ्ट के डाउनलोड की सेवा दे रहा है।

Comments

यदि url microsoft.com पढ़ता है, तो यह किसी अन्य स्रोत से कैसे आता है?

— Moab

@Moab, Microsoft अपनी DNS प्रविष्टियों में अकामाई सर्वर की ओर इशारा कर रहा है। जब आप किसी विशेष DNS प्रविष्टि को देखते हैं तो उसमें अन्य प्रविष्टियों के अलावा अकामाई सर्वर में CNAME प्रविष्टि होती है।

— हैवीड

Answer 4

HTTPS पर डाउनलोड करने की कोई आवश्यकता नहीं है। उनके डाउनलोड केंद्र के सभी सॉफ़्टवेयर Microsoft द्वारा हस्ताक्षरित हैं और स्थापना के दौरान प्रमाणित हैं।

Answer 5

यदि आपके पास फ़ायरफ़ॉक्स या क्रोम स्थापित है, तो आप उन ब्राउज़र के लिए इस HTTPS एवरीवेयर प्लग-इन के साथ Microsoft से डाउनलोड करने का प्रयास कर सकते हैं। https://www.eff.org/https-everywhere