パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Microsoft、DirectXエンドユーザーランタイムにSHA-2で署名し直して提供再開」記事へのコメント

  • by Anonymous Coward on 2021年02月21日 16時55分 (#3982090)

    旧来のSHA-1署名(2011年3月31日03:38:42付)付きのものに追加でSHA-2署名したわけではなく、SHA-2署名単体(2021年2月18日06:01:01付)

    ファイルサイズが若干大きくなっているが(292,184バイト→295,320バイト)、ファイルバージョン (6.0.2600.0)、製品バージョン (9.29.1974.0)は変わらず(当然だが)

    • by Anonymous Coward on 2021年02月21日 17時15分 (#3982095)

      デュアル署名ではないので、Windows XP、Vista、KB4474419 [microsoft.com]を入れる前のWindows 7ではインストーラーの署名を検証できない。またWebインストーラーがダウンロード時に行う署名の検証もSHA-2オンリーになっているらしく、それらの環境ではWebインストーラーはインストールに失敗する。スタンドアロン版 [microsoft.com]ならインストール可能

      親コメント
      • by Anonymous Coward

        もともとSHA-1はセキュリティの問題があるという理由で提供終了したわけで、仕方ない感じですね。

      • by Anonymous Coward

        それ署名の検証をスキップ出来るのかな

        Macだと、Xcodeのインストーラーファイル(的なファイル)をローカルに保存していたら、ある日appleが署名を更新したらしくてそのバイナリがインストール不可になっていてappleのサイトから再DLする事になった。
        署名を無視してxcodeをインストールする方法はどうしてもわからなかった。

        • by Anonymous Coward on 2021年02月21日 22時47分 (#3982187)

          起動時の検証は失敗しても発行者名が表示されないだけで無視してそのまま起動することはできるけど、Webインストーラーのダウンロード時の検証はスキップできない。ていうかできたらWebインストーラー経由でマルウェアを送り込める脆弱性になりかねない。

          親コメント
      • by Anonymous Coward

        ちなみにSHA-1署名版のWebインストーラーでも当該環境ではエラーになった。サーバーから落ちてくるCABファイルがSHA-2オンリーに差し替えられたんだろうな

    • by Anonymous Coward on 2021年02月21日 22時58分 (#3982190)

      確かにdxwebsetup.exeやdirectx_Jun2010_redist.exeの署名はsha256に変わっているが、インストールされるモジュール自体はsha1署名のままだよ。

      親コメント
      • by Anonymous Coward on 2021年02月21日 23時20分 (#3982195)

        それは更新されたブログ記事にも書かれてるね。

        As of February 20, 2021, these three downloads have been republished using SHA-256 signing for the ‘outer’ containers–there’s been no change to the contents or binaries. The payload DLLs are still using SHA-1, and there are known security issues, so it is highly recommended you move to the replacements mentioned in this post.

        親コメント
      • by Anonymous Coward

        確かにdxwebsetup.exeやdirectx_Jun2010_redist.exeの署名はsha256に変わっているが、インストールされるモジュール自体はsha1署名のままだよ。

        これは一言申さねばなるまい

        謀ったなsha!

    • by Anonymous Coward

      デュアリストなのさ

クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人

処理中...