Existe alguma maneira de garantir que o arquivo baixado seja da Microsoft?

Question

Existe alguma maneira de se certificar de que o arquivo que foi baixado ou está presente no sistema é da Microsoft e não foi adulterado? Se sim, alguma maneira do PowerShell?

Estou pensando em usar o comando Get-AuthenticodeSignature , mas não tenho certeza se estou indo na direção certa.

Alguém por favor pode me ajudar nisso?

A seguir, a saída que recebo para um arquivo -

PS C:> Get-AuthenticodeSignature -FilePath .\sts2016-kb3141486-fullfile-x64-glb.exe | fl

SignerCertificate : [Subject] CN=Microsoft Corporation, OU=MOPR, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                    [Issuer]
                       CN=Microsoft Code Signing PCA, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                    [Serial Number]
                       330000014096A9EE7056FECC07000100000140

                    [Not Before]
                       8/18/2016 8:17:17 PM

                    [Not After]
                       11/2/2017 8:17:17 PM

                    [Thumbprint]
                       98ED99A67886D020C564923B7DF25E9AC019DF26

TimeStamperCertificate :

Status : Valid

StatusMessage : Signature verified.

Path : C:\sts2016-kb3141486-fullfile-x64-glb.exe

SignatureType : Authenticode

IsOSBinary : False

Portanto, se apenas verificar um arquivo e ele tiver o mesmo emissor e sua assinatura for verificada, posso considerá-lo seguro?

Obrigado!

    

Answer 1

Você pode usar somas de verificação ou como a Microsoft as chama na página de download de um hash de pacote. Este é um hash que pode ser criado a partir do arquivo. Na página de informações do software que você forneceu, na parte inferior é uma seção com informações de hash de arquivo.

Você pode usar essas informações para confirmar que fez o download do software correto. O PowerShell tem um cmdlet chamado Get-FileHash que você executa no arquivo. O padrão é usar SHA256. Você pode usar o parâmetro -Algorithm para usar um algoritmo diferente. Eu usei SHA1 no meu exemplo abaixo, uma vez que corresponde à captura de tela acima. Se você usar -Algorithm SHA256, ele corresponderá ao 'Package hash SHA 2' da captura de tela.

Get-FileHash C:\sts2016-kb3141486-fullfile-x64-glb.exe -Algorithm SHA1

Algorithm       Hash                                       Path                                                                                                                             
---------       ----                                       ----                                                                                                                             

SHA1            1B30B50FEB5FB3F8D764C6C0D6523DBA5BE05C1E   C:\sts2016-kb3141486-fullfile-x64-glb.exe

Se os hashes coincidirem, você pode confiar em seu download.

Obrigado, Tim.