- Mitglied seit
- 10 Mai 2006
- Beiträge
- 15,275
- Punkte für Reaktionen
- 1,751
- Punkte
- 113
Ich weiß ja nicht, wie es anderen geht ... aber ich hatte beim Gedanken an AVM, die dortige Software-Entwicklung und die dabei etablierten Abläufe immer so blauäugige Ideen, daß das alles in einer erprobten Toolchain erfolgt und man dort praktisch nur noch angeben muß, was man am Ende an Dateien erhalten möchte und wo diese abgelegt werden sollen, damit die Öffentlichkeit darauf zugreifen kann - quasi so ein System für ein definiertes Deployment neuer Firmware, so sie denn endlich fertig ist.
Nun ... schaut man sich das "Gemäre" seit inzwischen mehr als einem Monat an (es sind eher fünf Wochen vergangen, seit die 07.00 für die 7590 und die 7580 freigegeben wurden), kommt diese Vorstellung mehr und mehr ins Wanken.
Da gibt es also seit dem 24.07.2018 eine Recovery-Datei für die FRITZ!Box 7590:
http://ftp.avm.de/fritzbox/fritzbox-7590/deutschland/recover/fritz.box_7590.07.00.recover-image.exe
(SHA256 für die gesamte Datei: e4f47c943ec694af887b7ce688221743b853a1293e852904e23f54f9173ae5e9)
und diese ist auch tatsächlich - und zwar mit dem neuen Zertifikat von DigiCert, nachdem das alte Symantec-Zertifikat (Thumbprint: 45 ec ad cd 07 8e fa 25 46 b7 42 e3 d2 d5 77 a8 f6 e8 b8 d0) am 14.04.2018 abgelaufen ist (seitdem hat AVM m.W. keine weiteren Recovery-Dateien mehr veröffentlicht) - signiert und zwar auch schon am 24.07.2018 ... das Zertifikat gab es zu diesem Zeitpunkt also auch schon.
Wenn AVM parallel dazu dann für die 7580 nur dieses Recovery-Programm bereitstellt:
https://ftp.avm.de/fritzbox/fritzbox-7580/deutschland/recover/FRITZ.Box_7580.07.00.recover-image.exe
(SHA256: 2e7c631aabbe32a05147b7394dadf9e2b86644e30a0ef30f9e3c33703f195db7)
und hier fehlt jede Signatur des Herausgebers, dann liegt das also schon mal ziemlich sicher nicht daran, daß man kein passendes Zeritifikat hätte, mit dem man sich als Hersteller identifizieren könnte. Offenbar gibt es dafür andere Gründe ... und trotzdem hat die Deployment-Chain bei AVM es offensichtlich nicht verhindert, daß dieses "nackte" Programm auch an Stellen gelangte, wo es der Öffentlichkeit zugänglich ist und wo es sich jetzt die Kunden schon seit 5 Wochen herunterladen können.
Nun ist zwar jeder Kunde selbst schuld daran, wenn er auf seinem Windows-Rechner ein Programm startet, welches nicht von dessen (kommerziellem(!) - wir wollen das bitte nicht mit Hobby-Programmierern oder kostenloser OpenSource-Software verwechseln) Herausgeber signiert wurde - auch wenn so eine Signatur noch lange kein Allheilmittel ist. Aber zumindest sichert sie erst einmal ab, daß nachträgliche Veränderungen an diesem Programm dann auch auffallen ... mit der unsignierten Version des Programms kann man problemlos auch eine modifizierte Firmware bei einem anzugreifenden Opfer installieren - das Extrahieren der enthaltenden Firmware mit ihrer RLE-Kompression ist praktikabel und auf demselben Weg kann man natürlich auch wieder ein eigenes Image zusammenpacken, das man dem AVM-Programm unterjubelt.
Auch gegen solche Manipulationen schützt eine solche elektronische Signatur eines ausführbaren Programms unter Windows nun mal ... es ist also nicht nur eine Frage "des Anstands", daß man den Kunden nicht mit einer unsignierten EXE-Datei in die Bredouille bringt, sich für oder gegen die Ausführung unsignierter Software zu entscheiden - es ist auch eine Frage dessen, ob sich beim Kunden der Eindruck einstellt: "Dieser Hersteller signiert seine Programme ohnehin nicht und damit kann auch das Programm, was ich netterweise von einem Dritten erhalten habe, durchaus eines von diesem Hersteller sein.".
Man muß sich nur mal die "Firmware-Gesuche" hier im Forum ansehen und auch wenn AVM diesen "Tauschhandel" vermutlich gar nicht gutheißen wird, könnte man wenigstens mit einer Signatur auch beim Recovery-Programm dafür sorgen (bei den Firmware-Images macht man es ja auch - nur wirkt diese Art der Signatur nicht beim Recovery-Programm), daß den eigenen Kunden nicht von Dritten irgendwelcher Mist untergeschoben werden kann.
Dazu würde es natürlich beitragen, wenn das Deployment von Recovery-Programmen nur noch dann erfolgt, wenn diese auch tatsächlich signiert sind ... meines Wissens nutzt sich das Zertifikat dabei nicht wirklich ab und wenn ein Mitarbeiter das Erstellen eines Recovery-Programms plant und "anweist" (bei der Toolchain), dann sollte auch das Signieren des Erzeugnisses ein selbstverständlicher Schritt sein, der nicht einfach "aus Bequemlichkeit" (oder was das auch sonst für Gründe haben mag) unter den Tisch fallen kann.
Auch eine einheitliche Benennung von Dateien könnte sich dabei - aus Kundensicht - als nützlich erweisen ... mich irritiert es jedenfalls außerordentlich, wenn das - ordnungsgemäß signierte - Recovery-Programm für die 7590 mit deutscher Firmware den Namen "fritz.box_7590.07.00.recover-image.exe" trägt, während die danebenliegenden Versionen für "italy" und "other" wieder anders heißen und zwar sowohl beim Namen der Images als auch beim Namen des Recovery-Programms (und da meine ich natürlich nicht den Teil mit der Sprache und ggf. der Versionsnummer, sondern schon den Beginn des Namens):
FRITZ.Box_7590.en-de-es-it-fr-pl-nl.07.00.recover-image.exe
(SHA256: eac9d33661a7b2169695e6d8e0c1be939ef1a68d27686436ab1d12f89389afc1)
Die Feststellung, daß auch dieses Recovery-Programm nicht signiert ist, verkommt da am Ende bloß noch zur Randnotiz.
In meinen Augen sollte sich AVM hier mal an die Arbeit machen und auch für dieses Deployment (bei aller Agilität in der Entwicklung - die man auch nicht zwangsläufig mit "Chaos" gleichsetzen muß) ein paar Regeln aufstellen, damit bei den Kunden am Ende auch eine Software ankommt (und ein Eindruck entsteht), wie man es sich als Hersteller vermutlich vorstellt. So, wie es jetzt ist, wirkt es (zumindest auf mich) auch einigermaßen unprofessionell - es gibt schließlich Software auch für diese Prozesse.
Nun ... schaut man sich das "Gemäre" seit inzwischen mehr als einem Monat an (es sind eher fünf Wochen vergangen, seit die 07.00 für die 7590 und die 7580 freigegeben wurden), kommt diese Vorstellung mehr und mehr ins Wanken.
Da gibt es also seit dem 24.07.2018 eine Recovery-Datei für die FRITZ!Box 7590:
http://ftp.avm.de/fritzbox/fritzbox-7590/deutschland/recover/fritz.box_7590.07.00.recover-image.exe
(SHA256 für die gesamte Datei: e4f47c943ec694af887b7ce688221743b853a1293e852904e23f54f9173ae5e9)
und diese ist auch tatsächlich - und zwar mit dem neuen Zertifikat von DigiCert, nachdem das alte Symantec-Zertifikat (Thumbprint: 45 ec ad cd 07 8e fa 25 46 b7 42 e3 d2 d5 77 a8 f6 e8 b8 d0) am 14.04.2018 abgelaufen ist (seitdem hat AVM m.W. keine weiteren Recovery-Dateien mehr veröffentlicht) - signiert und zwar auch schon am 24.07.2018 ... das Zertifikat gab es zu diesem Zeitpunkt also auch schon.
Wenn AVM parallel dazu dann für die 7580 nur dieses Recovery-Programm bereitstellt:
https://ftp.avm.de/fritzbox/fritzbox-7580/deutschland/recover/FRITZ.Box_7580.07.00.recover-image.exe
(SHA256: 2e7c631aabbe32a05147b7394dadf9e2b86644e30a0ef30f9e3c33703f195db7)
und hier fehlt jede Signatur des Herausgebers, dann liegt das also schon mal ziemlich sicher nicht daran, daß man kein passendes Zeritifikat hätte, mit dem man sich als Hersteller identifizieren könnte. Offenbar gibt es dafür andere Gründe ... und trotzdem hat die Deployment-Chain bei AVM es offensichtlich nicht verhindert, daß dieses "nackte" Programm auch an Stellen gelangte, wo es der Öffentlichkeit zugänglich ist und wo es sich jetzt die Kunden schon seit 5 Wochen herunterladen können.
Nun ist zwar jeder Kunde selbst schuld daran, wenn er auf seinem Windows-Rechner ein Programm startet, welches nicht von dessen (kommerziellem(!) - wir wollen das bitte nicht mit Hobby-Programmierern oder kostenloser OpenSource-Software verwechseln) Herausgeber signiert wurde - auch wenn so eine Signatur noch lange kein Allheilmittel ist. Aber zumindest sichert sie erst einmal ab, daß nachträgliche Veränderungen an diesem Programm dann auch auffallen ... mit der unsignierten Version des Programms kann man problemlos auch eine modifizierte Firmware bei einem anzugreifenden Opfer installieren - das Extrahieren der enthaltenden Firmware mit ihrer RLE-Kompression ist praktikabel und auf demselben Weg kann man natürlich auch wieder ein eigenes Image zusammenpacken, das man dem AVM-Programm unterjubelt.
Auch gegen solche Manipulationen schützt eine solche elektronische Signatur eines ausführbaren Programms unter Windows nun mal ... es ist also nicht nur eine Frage "des Anstands", daß man den Kunden nicht mit einer unsignierten EXE-Datei in die Bredouille bringt, sich für oder gegen die Ausführung unsignierter Software zu entscheiden - es ist auch eine Frage dessen, ob sich beim Kunden der Eindruck einstellt: "Dieser Hersteller signiert seine Programme ohnehin nicht und damit kann auch das Programm, was ich netterweise von einem Dritten erhalten habe, durchaus eines von diesem Hersteller sein.".
Man muß sich nur mal die "Firmware-Gesuche" hier im Forum ansehen und auch wenn AVM diesen "Tauschhandel" vermutlich gar nicht gutheißen wird, könnte man wenigstens mit einer Signatur auch beim Recovery-Programm dafür sorgen (bei den Firmware-Images macht man es ja auch - nur wirkt diese Art der Signatur nicht beim Recovery-Programm), daß den eigenen Kunden nicht von Dritten irgendwelcher Mist untergeschoben werden kann.
Dazu würde es natürlich beitragen, wenn das Deployment von Recovery-Programmen nur noch dann erfolgt, wenn diese auch tatsächlich signiert sind ... meines Wissens nutzt sich das Zertifikat dabei nicht wirklich ab und wenn ein Mitarbeiter das Erstellen eines Recovery-Programms plant und "anweist" (bei der Toolchain), dann sollte auch das Signieren des Erzeugnisses ein selbstverständlicher Schritt sein, der nicht einfach "aus Bequemlichkeit" (oder was das auch sonst für Gründe haben mag) unter den Tisch fallen kann.
Auch eine einheitliche Benennung von Dateien könnte sich dabei - aus Kundensicht - als nützlich erweisen ... mich irritiert es jedenfalls außerordentlich, wenn das - ordnungsgemäß signierte - Recovery-Programm für die 7590 mit deutscher Firmware den Namen "fritz.box_7590.07.00.recover-image.exe" trägt, während die danebenliegenden Versionen für "italy" und "other" wieder anders heißen und zwar sowohl beim Namen der Images als auch beim Namen des Recovery-Programms (und da meine ich natürlich nicht den Teil mit der Sprache und ggf. der Versionsnummer, sondern schon den Beginn des Namens):
FRITZ.Box_7590.en-de-es-it-fr-pl-nl.07.00.recover-image.exe
(SHA256: eac9d33661a7b2169695e6d8e0c1be939ef1a68d27686436ab1d12f89389afc1)
Die Feststellung, daß auch dieses Recovery-Programm nicht signiert ist, verkommt da am Ende bloß noch zur Randnotiz.
In meinen Augen sollte sich AVM hier mal an die Arbeit machen und auch für dieses Deployment (bei aller Agilität in der Entwicklung - die man auch nicht zwangsläufig mit "Chaos" gleichsetzen muß) ein paar Regeln aufstellen, damit bei den Kunden am Ende auch eine Software ankommt (und ein Eindruck entsteht), wie man es sich als Hersteller vermutlich vorstellt. So, wie es jetzt ist, wirkt es (zumindest auf mich) auch einigermaßen unprofessionell - es gibt schließlich Software auch für diese Prozesse.
Zuletzt bearbeitet:
