Authentizität/Sicherheit von PKG / DMG Dateien

[KarlKlammer]

Hallo allerseits,

ich würde auf meinem Mac gerne etwas mehr Sicherheit haben in Bezug auf selbst heruntergeladene und installierte Schadsoftware, also z.B. durch gehackte Webseiten oder gefälschte Webseiten bei einer Google Suche oder wenn man mal Schadsoftware findet und dann alles neu installiert..Mir ist natürlich klar, dass man Software nur aus vertrauenswürdigen Quellen herunterladen sollte, aber letztendlich birgt auch der Download beim Hersteller oder bei Download-Portalen ein gewisses Risiko und selbst bereits heruntergeladene Software könnte manipuliert worden sein.

Zum einen frage ich mich daher, ob es bereits eine Gefahr darstellt, eine PKG Datei zu öffnen bzw. eine DMG Datei zu mounten? Bei PKG befindet man sich ja bereits in einer Art Installations-Dialog, von dem ich nicht weiß, ob er nun dem OS entspringt oder der PKG Datei selbst bzw. welches Risiko ich bereits durch das Öffnen dieser Datei eingehe? Im Laufe der Installation werde ich irgendwann nach meinem Kennwort gefragt, vermutlich damit die Installation nicht aufgrund von fehlenden Berechtigungen fehlschlägt. Aber kann die PKG-Datei vorher in einem anderen Benutzer-Kontext Schaden anrichten?

Zum anderen frage ich mich, woran ich z.B. bei PKG Dateien erkennen kann, dass diese "sauber" bzw. gefahrlos installierbar sind? Es gibt oben rechts im Installationsprogramm ein Schloss-Symbol, welches bei einer meiner PKG-Dateien geschlossen ist und beim Anklicken folgenden Inhalt offenbart:
Benutzer-ID: Microsoft Corporation (UBF8T346G9)
Firma: Microsoft Coorporation
Land: US
Der Inhalt erinnert mich an die grünen Inhaber-Zertifikate vom Web-Browser, welche ich vom Online-Banking her bereits kenne. Ist es also ausreichend Benutzer-ID, Firma und Land zu kontrollieren, oder muss ich noch die hexadezimalen Fingerabdrücke vergleichen, um die PKG-Datei gefahrlos installieren zu können?

Oder ist ein geschlossenes Schloss-Symbol bei einer PKG-Datei eine Art Garantie, dass die Software bedenkenlos installiert werden kann? Also so nach dem Motto: wer so ein Zertifikat hat, ist bei Apple registriert, kann haftbar gemacht werden und wird sich kaum erlauben, Schadsoftware zu installieren? Ich gehe bei meinen Überlegungen mal davon aus, dass die Rechner, auf denen die Software kompiliert wird, sowie auch die verwendeten Bibliotheken "sauber" sind.

Bei DMG Dateien ist es oft so, dass dort lediglich eine Datei drin ist, die man per Drag and Drop in das Programme-Verzeichnis überträgt. Hier gibt es wohl kein Schloss-Symbol und ich wurde von Mojave vor dem Öffnen glaube ich darauf hingewiesen, dass diese Datei aus dem Internet geladen wurde. Gibt es auch Software, die man so per Drag and Drop installiert und die NICHT diese Warnung hervorruft? Mich interessiert also, ob es auch hier für den Anwender "vereinfachte" Schutz-Maßnahmen vor Schadsoftware gibt?

Viele Grüße und vielen Dank,
KarlKlammer

 

[walfreiheit]

Prinzipiell kann alles, was du öffnest oder startest eine Gefahr darstellen. Wie groß die Gefahr ist, hängt eben maßgeblich davon ab, woher die Datei kommt.

Generell wird heute meist von Schadsoftwarescannern abgeraten, die dauerhaft im Hintergrund läuft. Das öffnet eher neue Einfallstore, als dass es hilft. Früher war hier Malwarebytes eine Empfehlung, wobei die neuere Version auch dauerhaft läuft. Ich bin daher dazu übergegangen, den Bitdefender Virus Scanner zu empfehlen. Damit kannst du gezielt Dateien oder Ordner nach auf Schadsoftware überprüfen, ohne dass dauerhaft Routinen im Hintergrund laufen. Bitte aber nicht mit anderen Versionen von Bitdefender verwechseln, die genau das tun. Lieber direkt über den Verweis auf den App Store gehen.

 

[oneOeight]

PKG dateien können und sollten heutzutage eigentlich von ersteller signiert worden sein.
bei älteren ist das aber meist nicht der fall.

 

[mohmac]

Solange Du Malwarebytes als Free- Version nutzt, arbeitet sie als On Demand Scanner.

 

[Fl0r!an]

Pauschal schwer zu beantworten. Mit den Zertifikaten verhält es sich grundsätzlich wie beschrieben, eine 100%ige Garantie sind sie aber natürlich nicht.
Andersrum haben OpenSource-Projekte häufig keine (kostenpflichtigen) Zertifikate, die Sicherheit ist da aber natürlich durch die Einsehbarkeit des Sourcecodes gegeben.

Davon abgesehen kann natürlich quasi alles eine Gefahr darstellen, ein entsprechendes, ungepatchtes Exploit vorausgesetzt.

 

[Zitlo]

Kannst dir ja mal Santa angucken:

https://github.com/google/santa

 

[Atalantia]

Ich schaue mir pkg immer mit Suspicious Package an und lasse oft während des Installierens fsMonitor laufen. So weiss ich wo was installiert wird.

 

[KarlKlammer]

Hallo,

vielen Dank für eure Antworten. Wenn ich das richtig verstanden habe, wird eine PKG Datei nicht selbst ausgeführt, sondern von einem im Betriebssystem integrierten Installer interpretiert. Dennoch dürfte das reine Öffnen einer solchen Datei nur dann harmlos sein, wenn im Installer keine Sicherheitslücken ausgenutzt werden können. Wenn ich an die vielen Sicherheitslücken in den letzten Jahren denke, die teilweise viele Jahre unbemerkt ausgenutzt werden konnten, dann sind die Details beim Interpretieren vermutlich nicht so wichtig bzw. man sollte sich in dieser Hinsicht wohl keine allzu großen Hoffnungen machen.

Interessant, dass inzwischen von einem Wächter abgeraten wird. Ich hatte nämlich bereits mit dem Gedanken gespielt, mir Kaspersky Antivirus zu kaufen. Ist das mit dem Eröffnen neuer Einfallstore gesichert, oder kann es sein, dass in ein paar Jahren von On-Demand-Scannern abgeraten wird? Die Frage ist ernst gemeint, ich kann leider nicht beurteilen, auf welcher Faktenlage solche Empfehlungen basieren.

Die empfohlenen Programme sehe ich mir näher an, vielen Dank dafür. Über Little Snitch habe ich in diesem Zusammenhang auch oft gelesen bzw. das man damit so ähnlich wie mit FSMonitor für das Dateisystem ungewöhnliche Netzwerk-Aktivitäten feststellen kann - was haltet ihr davon?

 

[Zitlo]

LittleSnitch ist für mich ein absolutes Muss! Nutze ich jetzt sicher schon 8-10 Jahre (?) Der Vorteil ist, du kannst damit eben den Netzwerkverkehr von allen Programmen einzeln bestätigen oder globale Regeln erstellen. Selbst als AdBlocker eigenet sich LittleSnitch hervorragend, es gibt hier z.B. ein Format um die Verbindungen zu AdServern zu unterbinden: https://pgl.yoyo.org/adservers/#littlesnitch-rule-group-subscriptions