Das Herunterladen von Software aus dem Internet kann – ohne entsprechende Vorsichtsmaßnahmen – eine gefährliche Angelegenheit sein. Eine ganze Reihe von technischen Schutzmaßnahmen wurde entwickelt, um das Risiko zu verringern. So prüfen inzwischen je nach Konfiguration Browser, Betriebssysteme und Virenscanner jeden Download und auch jeden Installationsversuch. Dies kann zu einer ganzen Reihe von Warnmeldungen führen. Um ein versehentliches Ausführen zu verhindern, werden die Warnanzeigen immer ausgefeilter und das Ausführen so mancher Software erst nach mehreren zusätzlichen Klicks möglich. Gerade Software, die nur einen speziellen Kundenkreis bedient, hat hier schnell das Nachsehen, da sie das zusätzliche Manko des eher seltenen Downloads hat. Dazu gehören auch die Installationsprogramme des JobRouter und unserer JR-AddOns.
Für diese Probleme gibt es natürlich Lösungsmöglichkeiten. Eine ist die digitale Signatur der Anwendung und des Setups. Die Signatur bürgt für ihre Herkunft, Unabänderlichkeit und Identität des Herausgebers. Der Zeitstempel sorgt dafür, dass die Signatur auch nach dem Ablauf des Zertifikats gültig bleibt. Der Vorteil der digitalen Signatur liegt in der Garantie der Identität des Herausgebers und des unveränderten Zustandes seit dem Moment der Ausstellung.
Wo viel Licht, ist auch Schatten sagt der Volksmund und das gilt natürlich auch für das Thema des Signierens. So ist es natürlich auch problemlos möglich Malware zu signieren. Insbesondere wenn wie bei Ransomware eine direkte Gewinnerzielungsabsicht besteht, sind die Kosten für ein Zertifikat kein Hindernis. Die Signatur der Applikation kann ihre Vertrauenswürdigkeit nicht automatisch gewährleisten. Daher wird zusätzlich der Herausgeber bewertet. Diese sogenannte Reputation wird meist von Antivirenprogrammen geprüft.
Außer Antivirenprogrammen und Browsern führt diese Kontrolle inzwischen auch das Windows-System durch, das die Applikationen begutachtet und auswertet, ob sie der Benutzer ohne ein Risiko öffnen kann. Dies ist der sogenannte SmartScreen-Filter, der zunächst im Internet Explorer 7 eingeführt wurde und seit Windows 8 systemweit zur Verfügung steht. Dieser kann die Ausführung einer Datei verhindern, falls die signierten Anwendungen nicht vertrauenswürdig sind.
Da man eine Reputation aber nur mit signierten Anwendungen aufbauen kann, haben wir nun den ersten Schritt gemacht. Alle künftigen Versionen der JR-AddOns werden digital signiert. Den Anfang hat die aktuelle Version des JRDashboard (1.5.2) bereits gemacht. Die weiteren Erweiterungen folgen.