¡Diferentes archivos ejecutables firmados por Microsoft tienen aparentemente la misma firma!

Algunas preguntas pueden ser respondidas, otras son especulativas.

• X.509 se basa en ASN.1 . ASN.1 define dos tipos de datos para fechas, UTCTime y GeneralizedTime . UTCTime tiene solo dos dígitos para el año, por lo que no es Y2K-clean; Se definió a fines de la década de los ochenta de lo que solo puede describirse como una falta consumada de previsión. Se solucionó temporalmente al definir que UTCTime realmente cubre los años 1950 a 2049, lo que hace que la interpretación sea inequívoca. Las fechas posteriores al 2049 utilizarán GeneralizedTime , que tiene dígitos de cuatro años y por lo tanto está bien hasta el 31 de diciembre de 9999.

  Por lo tanto, los años de dos dígitos son un símbolo de incompetencia, pero no un problema de seguridad stricto sensu .

• El formato GeneralizedTime (con cuatro dígitos para el año) puede contener segundos fraccionarios, indicados por un punto seguido de dígitos adicionales. El número de dígitos adicionales es teóricamente ilimitado; sin embargo, al codificar, se supone que se eliminan los ceros finales. Si ve "20151030033209.248Z" y "20151030033209.24Z", entonces estas fechas se midieron con (al menos) milisegundos de precisión, pero en este último, el número de milisegundos fue "240" y se eliminó el cero final.

• Por lo general, la firma y la marca de tiempo se realizan en distintas máquinas; el sellado de tiempo lo realiza una autoridad de sellado de tiempo dedicada cuyo trabajo es mantener un reloj preciso. El sellado de tiempo se retrasa a menudo. En su caso, verá que el sellado de tiempo ocurrió cuatro días después de la firma.

• Encuentro algunos informes de que las dos versiones de bootsect.exe corresponden a dos versiones diferentes de Windows, llamadas "10.0.10586.0 (th2_release.151029-1700)" y "10.0.10135.0 (winmain_prs.150531-1700 ) ", respectivamente. Según este sitio , este último es una compilación interna de Microsoft que se filtró el 6 de junio de 2015, pero no fue lanzada y por lo tanto es relativamente rara en la naturaleza.

A partir de esta información, deduzco lo siguiente: dentro del proceso de compilación de Microsoft (que probablemente es bastante complejo), se compilaron dos versiones de bootsect.exe al mismo tiempo, y probablemente solo se diferenciaron en el "número de compilación" (supongo que sus bytes en el desplazamiento 0x148 son parte del número de compilación) y firmados en breve sucesión (8 milisegundos entre las dos firmas). Las dos compilaciones pueden corresponder a versiones "estables" y "desarrollo" con diferentes opciones de construcción, pero integradas dentro del mismo proceso de compilación. Estas dos versiones se programaron para la marca de tiempo, que se produce en otro lugar, en otra máquina, con su propia cola. Los dos sellos de tiempo se realizaron unos días más tarde, con un retraso de 11 segundos entre los dos archivos. Uno tiene que imaginar que la cola no está completamente "en orden" y los archivos que se colocaron en cola en una sucesión corta pueden manejarse a diferentes niveles. veces.

Es improbable que los dos archivos se comporten de manera diferente. La firma utiliza Authenticode , que cubre el archivo completo, excepto los pocos campos que no pueden ser parte lógicamente de él, es decir, aquellos para la firma y los certificados, y la suma de comprobación del encabezado. Es posible que un ejecutable firmado inspeccione su propio binario y aproveche una diferencia de un byte en el encabezado para cambiar su comportamiento, pero esto es bastante artificial: el código tiene que hacerlo a propósito. Se supone que las firmas protegen contra las alteraciones malintencionadas de los archivos honestos, no contra los ejecutables falsos que intentan realizar trucos maliciosos.

Por lo tanto, mi conclusión es que sus dos bootsect.exe corresponden a dos compilaciones distintas que se realizaron al mismo tiempo dentro del proceso de compilación de Microsoft, y para dos versiones del código fuente que son, de hecho, idénticas, lo que lleva a la mismo comportamiento Los dos archivos se firmaron en breve sucesión, el sello de tiempo se realizó unos días más tarde de forma independiente, y uno fue parte de un lanzamiento oficial, mientras que el otro fue una compilación interna que se filtró.