Nutze bitte Updatesystem.net. dort werden deine Pakete Signiert

simi576 schrieb:

Ich möchte

Und was kannste?

@simi576

CC-Apps schrieb:

Nutze bitte Updatesystem.net. dort werden deine Pakete Signiert

simi576 schrieb:

Ich bin noch Anfänger.

Dh wir geben Code und du Copy-Pastest den dann, oder was? Zeig doch mal, was du schon an Code hast ...

Nutze bitte den Webclient

Du musst zuerst System.net importieren
Dann Webclient.DownloadAsyc("URL",Pfad)

Davon lässt du bitte ganz schnell die Finger, wie jetzt schon zum dritten mal gesagt.
Nutze UpdateSystem.Net für sowas !

CC-Apps schrieb:

Nutze bitte Updatesystem.net. dort werden deine Pakete Signiert

Ich hab keinen Plan von signieren aber rede davon.

@ThuCommix:
Danke, endlich sagt es mal einer.
Immer hört man "nutz UpdateSystem.NET!", dennoch wissen hier viele wahrscheinlich nicht einmal was der Vorteil daran ist.
Ihr geiert das nur von anderen nach, weil es einmal jmd gesagt hat der sich etwas damit auskennt.

weil es einmal jmd gesagt hat der sich etwas damit auskennt

Na Danke

Einige korrekte Signaturprüfung von Update-Paketen ist extrem wichtig.
Gerade vor einigen Tagen beim Hack des Domainhosters von avira.com konnte man sehr gut beobachten, wofür solch eine Prüfung notwendig ist.
Würde nun z.B. der Angreifer eurer Seite euren Hoster knacken und gefälschte bzw. infizierte/verseuchte Updates anbieten, würden diese (wahrs. auch noch mit Adminrechten!) geladen und ausgeführt.

Ein anderes Angriffsszenario ist es, das der Angreifer mit euch im gleichen Netz sitzt (Schule, Arbeit, Bahnhof, Flughafen) und dort ARP-Spoofing betreibt, euch darüber ein gefälschtes Update unterschiebt.

Durch eine korrekte assymetrische Signierung eines Hash-Wertes des Updatepaketes ist es möglich, (bei ausreichender Schlüssellänge) die Gegenstelle komplett zu authentifizieren und mit Gewissheit sagen zu können, dass das Update valide ist.
Wenn nun ein Angreifer ein Update patchen möchte, braucht er nicht nur Zugang zum Updatepath (sei's nun zum Server oder im Netzwerk) braucht er auch noch den Key, welcher nur auf eurem Rechner zu Hause abgelegt ist und nirgendswo anders vorhanden ist. Und selbst dieser ist meist noch mit einem Kennwort symmetrisch verschlüsselt, damit ein Angreifer auch mit physikalischem Zugang zu eurem Entwicklungs/Signierungs-Rechner keinen Zugang zu den Schlüsseln hat.

Soviel nur dazu, UpdateSystem.net implementiert das ganze sehr angenehm, sodass der Endnutzer und auch der Programmierer nichts von der Signierung merkt.
Bei der Generation des UpdateSystem.net Projektes muss man lediglich einmal seinen PublicKey in die Properties des UpdateControllers eintragen und die Sache ist fertig.
Der private Key wird hier in der Projektdatei abgelegt. Es ist also evtl. ratsam, diese z.B. in einem TrueCrypt Container zu lagern.

Wenn ich mich nicht ganz täusche, unterstützt die Beta-Version von US.net auch eine direkte Verschlüsselung des privaten Schlüssels.

Dies nur als kurzer Exkurs in die Gründe und Wichtigkeit eines vernünftigen Updatemechanismus. Ihr könnt ja gerne auf diesen Post verlinken.

Viele Grüße,
Manawyrm

So, Tobias ist der der hier Ahnung hat. Nicht anderen vor die Karre fahren, und dann ausgebootet werden!