Windows "veilig" een binary downloaden

[daft_dutch]

Weer een windows vraagje (voel me zo een noob)

Als ik via google op een willekeurige site kom om daar een programma te downloaden.
hoe kan ik "op dat moment" checken of die binary veilig is?

(Zonder het aan de virus scanner over te laten)
edit: ik weet dat er paranoid browser plugins zijn. maar dat wil ik liever niet. gewoon een manuele check als ik het zeker wil weten.

[ Voor 21% gewijzigd door daft_dutch op 30-09-2015 10:30 ]

[Reepje]

Wat bedoel je met een binary?

Als je op deze site zit, hoe weet je dan dat deze site veilig is?

Kortom, dat weet je niet. Aan een link, een site of wat dan ook zoals die op je scherm wordt weergegeven kan je niet zien of die veilig is. Laat staan een downloadlink, dat weet je gewoon niet, en dat kan je ook niet zien.

[Hero of Time]

IE, Chrome en FF doen al een security scan voordat ze zeggen dat de download klaar is. Je kan ook altijd de URL van de executable door virustotal.com gooien. En verder gewoon zorgen dat je een degelijke anti-virus hebt.

[Reepje]

Maar ja, hij wil het zonder virusscanner zien. Maar dat kan dus eigenlijk niet omdat alles al door een virusscanner is gegaan. Pas als de virusscanner een steekje laat vallen, ben je de klos.

[daft_dutch]

Reepje schreef op woensdag 30 september 2015 @ 10:33:
Wat bedoel je met een binary?

Als je op deze site zit, hoe weet je dan dat deze site veilig is?

Kortom, dat weet je niet. Aan een link, een site of wat dan ook zoals die op je scherm wordt weergegeven kan je niet zien of die veilig is. Laat staan een downloadlink, dat weet je gewoon niet, en dat kan je ook niet zien.

nou zo iets als virustotal.com maar dan.;.
O je wilt http://www.foo.bar/download/whatever.exe checken.
deze heeft sha512sum: 663fad5bcd324358db08bc078aba90177f7854b26b38fa06f9a1f454ec7001ee8daf46cb52ab0eb7
die ken ik al
en dit zijn de resultaten..

of o die ken ik niet.. laten we checken...............

nu een site OK van wat? waneer? dus ook mijn binary?

[ Voor 5% gewijzigd door daft_dutch op 30-09-2015 11:09 ]

[marcop82]

Dan ben je afhankelijk van de ontwikkelaar om te weten of de file niet aangepast is om een correct checksum te voorzien. Sowieso is dat nog geen zekerheid, als je zooi van softonic.com, cnet.com en download.com afhaalt, mag je je met zekerheid verwachten aan malware of adware, ongeacht of ze een checksum voorzien die klopt.

Uiteindelijk moet je informatie altijd naar zijn waarde en bron schatten. Als je bevoorbeeld Ccleaner wilt downloaden, ga dat niet ergens zoeken dan buiten piriform.com, de ontwikkelaar. Geef ook niet zoekopdrachten in Google in zoals "ccleaner free download" want dan krijg je ook eerder malware en adware software aangeboden dan de originele bron.

[daft_dutch]

marcop82 schreef op woensdag 30 september 2015 @ 11:45:
Dan ben je afhankelijk van de ontwikkelaar om te weten of de file niet aangepast is om een correct checksum te voorzien. Sowieso is dat nog geen zekerheid, als je zooi van softonic.com, cnet.com en download.com afhaalt, mag je je met zekerheid verwachten aan malware of adware, ongeacht of ze een checksum voorzien die klopt.

[...]

een checksum van een ontwikkelaar (dit is de download - en dit is de checksum) is alleen maar voor het valideren van de integiteit van de gedownloade copy en niet van de bron.

en verder ja dat is het probleem waar ik inderdaad een oplossing voor zou willen hebben.

[Question Mark]

De enige manier om dit te controleren is om de checksum van de bron te krijgen, en die te gaan vergelijken met je gedownloade copy. Als de bron geen checksum aanlevert, kun je dit dus niet controleren...

dan ben je voor de rest dus aangewezen op virusscanners en dergelijke.

[Reepje]

Maar waarom wil je dan geen virus scanner draaien?

[Verwijderd]

Reepje schreef op woensdag 30 september 2015 @ 10:33:
Wat bedoel je met een binary?

Een binary is een gecompileerde source, een executable, dus een .exe
Of een .scr, want een screensaver is ook gewoon een executable met een aangepaste header en een aangepaste extensie. Nooit screensavers downloaden dus, 50% is virus.

Reepje schreef op woensdag 30 september 2015 @ 10:33:
Als je op deze site zit, hoe weet je dan dat deze site veilig is?

Sites zijn bijna nooit onveilig, maar als je iets download en het dan runt, dan kan het onveilig worden. Dus alleen downloaden van sites die te vertrouwen zijn. Dus heel goed kijken naar de URL van die sites, dan weet je de bron. Liefst altijd gaan naar sites van de makers en software-aanbieders mijden als de pest.
Een CRC-check of een MD5-check kan wel helpen, maar gewoon goed opletten wat je waar download helpt beter.

[daft_dutch]

Reepje schreef op woensdag 30 september 2015 @ 12:09:
Maar waarom wil je dan geen virus scanner draaien?

ik draai/heb een virus scanner. maar die dingen vertrouw ik niet helemaal.

[Hydrosine]

Als je windows 8 of 10 gebruikt, alleen dingen uit de app store gebruiken?

[Henk007]

daft_dutch schreef op woensdag 30 september 2015 @ 10:27:
Als ik via google op een willekeurige site kom om daar een programma te downloaden.
hoe kan ik "op dat moment" checken of die binary veilig is?

Hier is geen algemeen antwoord op te geven zonder de code daadwerkelijk te draaien en exact te analyseren wat die doet (bijv op een VM)
Behalve dat kun je afgaan op de reputatie van de auteur en de website aan de hand van een hash die je via een veilig kanaal van de auteur hebt ontvangen. Tenslotte nog je virusscanner en sites zoals virustotal.
Of alleen sourcecode downloaden, die controleren en zelf compileren, maar dat niet realistisch.

[ Voor 7% gewijzigd door Henk007 op 30-09-2015 14:35 ]

[Question Mark]

daft_dutch schreef op woensdag 30 september 2015 @ 12:22:
[...]

ik draai/heb een virus scanner. maar die dingen vertrouw ik niet helemaal.

Dan moet je niks gaan downloaden waarvan je niet de checksum van de bron hebt. Simpel as that..

[daft_dutch]

Question Mark schreef op woensdag 30 september 2015 @ 13:15:
[...]

Dan moet je niks gaan downloaden waarvan je niet de checksum van de bron hebt. Simpel as that..

dat is nou het punt. voor mij volledig "Simpel as that" sinds eind 2004 toen ik na lange tijd mijn Windows XP gebruikte, waar huisgenoten een guest account op hadden. ik zal weer een virus scanner vertrouwen.
Ik heb "thuis" geen virus scanner "Simpel as that"

Dus oke zal er wel niet zijn. ik zal het voor toekomstige lezers wel even samen vatten.

in Windows "veilig" een binary downloaden
- gebruik altijd een virus scanner
- gebruik bij voorbaat de windows app store
- zo niet check eerst de site op www.virustotal.com
- indien "clean site" ga na of de site eventueel addware serveert
- download de binary
- check de file op www.virustotal.com -
- installeer gebruik binary (let op op eventuele addware)

[Ramon]

SmartScreen is nog niet genoemd. Wikipedia:

Windows 8 introduced SmartScreen filtering at the desktop level, performing reputation checks by default on any file or application downloaded from the Internet.[7]

Met andere woorden, MS checkt al of een binary die je probeert te draaien veilig is (op basis van reputatie). Zo niet, dan krijg je een popup zoals deze:

daft_dutch schreef op woensdag 30 september 2015 @ 20:44:
[...]

dat is nou het punt. voor mij volledig "Simpel as that" sinds eind 2004 toen ik na lange tijd mijn Windows XP gebruikte, waar huisgenoten een guest account op hadden. ik zal weer een virus scanner vertrouwen.
Ik heb "thuis" geen virus scanner "Simpel as that"

Dus oke zal er wel niet zijn. ik zal het voor toekomstige lezers wel even samen vatten.

in Windows "veilig" een binary downloaden
- gebruik altijd een virus scanner
- gebruik bij voorbaat de windows app store
- zo niet check eerst de site op www.virustotal.com
- indien "clean site" ga na of de site eventueel addware serveert
- download de binary
- check de file op www.virustotal.com -
- installeer gebruik binary (let op op eventuele addware)

Ik weet niet of ik het hier mee eens ben eigenlijk. Het belangrijkste, het checken van de hash, mist nog?

[ Voor 51% gewijzigd door Ramon op 30-09-2015 22:06 ]

[daft_dutch]

Ramon schreef op woensdag 30 september 2015 @ 21:55:
SmartScreen is nog niet genoemd. Wikipedia:


[...]


Met andere woorden, MS checkt al of een binary die je probeert te draaien veilig is (op basis van reputatie). Zo niet, dan krijg je een popup zoals deze:
[afbeelding]

[...]

Ik weet niet of ik het hier mee eens ben eigenlijk. Het belangrijkste, het checken van de hash, mist nog?

SmartScreen kende ik nog niet. Maar de "mee geleverde" hash checken? Beetje omslachtig.
en wat denk je wat de stap "- check de file op www.virustotal.com" doet?

[Verwijderd]

daft_dutch schreef op woensdag 30 september 2015 @ 20:44:
in Windows "veilig" een binary downloaden

... gaat bijna niet. Het is een gatenkaas dat wintendowsWindows.
Wil je veilig zijn, installeer dan gewoon Linux Mint, of een andere Linux versie.
Is gratis en het gekke is dat Microsoft niet de onkosten vergoedt van de schade die je ondervindt.

P.S. ik heb nog een systeem met legaal Win7 draaien. Elke keer als ik dat systeem aan zet, dan kost het wel tig minuten omdat het systeem zichzelf aan het bijwerken is, dan moet ik weer opnieuw opstarten en weer moet ik dan wachten. Wat is dat voor bagger? Op mijn Linux-Mint systeem, nooit geen probleem, staat ook altijd aan, 24/7. Soms, eens in de 3 weken of zo, is het handig om te herstarten, verder geen centje pijn.

[ Voor 6% gewijzigd door F_J_K op 03-10-2015 19:59 . Reden: Modbreakje: Laten we maar geen kinderachtige verbasteringen gebruiken in een discussie :Z ]

[Fish]

Verwijderd schreef op zaterdag 03 oktober 2015 @ 18:15:
[...]

... gaat bijna niet. Het is een gatenkaas dat wintendows.
Wil je veilig zijn, installeer dan gewoon Linux Mint, of een andere Linux versie.
Is gratis en het gekke is dat Microsoft niet de onkosten vergoedt van de schade die je ondervindt.

P.S. ik heb nog een systeem met legaal Win7 draaien. Elke keer als ik dat systeem aan zet, dan kost het wel tig minuten omdat het systeem zichzelf aan het bijwerken is, dan moet ik weer opnieuw opstarten en weer moet ik dan wachten. Wat is dat voor bagger? Op mijn Linux-Mint systeem, nooit geen probleem, staat ook altijd aan, 24/7. Soms, eens in de 3 weken of zo, is het handig om te herstarten, verder geen centje pijn.

Lekker aan het trollem en bashen zie ik

Ook linux dingetjes kunnen onveilig zijn natuurlijk. dat de community kleiner is en daardoor minder doelwit is zegt niet dat het niet kan gebeuren.
Onkosten. Dus als ik een bom in mijn auto leg moet nissan de schade vergoeden? hele goeie ..
Als jij je w7 maar af en toe aan hebt heb he dat idd ja. maar als je het elke dag draaid heb je niet zo'n last van updates hoor. gewoon normaal gebruiken.

[Compizfox]

Hij heeft wel een punt hoor. Bijna alle Linux-distro's hebben package management, wat inhoudt dat allerlei software speciaal voor de distro in kwestie gepackaged wordt en centraal (vanuit een repository) gedistributeerd wordt.

Als je onder Linux een bepaald programma wilt installeren, hoef je daarvoor niet het internet af te struinen naar een betrouwbare site waar die programma te downloaden valt. In plaats daarvan installeer je het uit de repository van je distributie.

Deze packages worden uiteraard ook gesigned zodat je zeker weet dat er in transit niet mee gesjoemeld is.

Kan Windows nog veel van leren.

---

Ontopic: aan TS kan ik eigenlijk vooral aanraden om programma's alleen van de site van de developer te downloaden. Over het algemeen kun je er wel zeker van zijn dat dat legit is (mits de developer betrouwbaar is natuurlijk).

Downloadsites zoals download.com en (sinds kort) sourceforge.com moet je ten strengste vermijden, die sites zitten vaak vol met misleidende advertenties die zich voordoen als downloadbuttons. Ook de 'goede downloadlinks' zijn vaak repackaged installers met malware gebundeld.

[ Voor 29% gewijzigd door Compizfox op 03-10-2015 18:41 ]

[Fish]

Mja ik ben er niet zo vaak mee bezig. maar als ik een repository toevoeg wie zegt dat die veilig is dan ?
ik volg dan ook maar een youtube filmpje oid.

idd downloaden bij de ontwikkelaar is een grote pre. maar geen garantie, die sturen je soms ook zo door naar een downloader die je liever niet hebt

[ Voor 33% gewijzigd door Fish op 03-10-2015 18:39 ]

[Compizfox]

Fish schreef op zaterdag 03 oktober 2015 @ 18:37:
Mja ik ben er niet zo vaak mee bezig. maar als ik een repository toevoeg wie zegt dat die veilig is dan ?

De repository wordt beheerd door de mensen achter de distro die je gebruikt. Mits je dus (om maar wat te noemen) het Debian project vertrouwt, kun je ook alle packages in de Debian repositories vertrouwen omdat die gesigned zijn door Debian.

[Will_M]

Compizfox schreef op zaterdag 03 oktober 2015 @ 18:34:
Hij heeft wel een punt hoor. Bijna alle Linux-distro's hebben package management, wat inhoudt dat allerlei software speciaal voor de distro in kwestie gepackaged wordt en centraal (vanuit een repository) gedistributeerd wordt.

Als je onder Linux een bepaald programma wilt installeren, hoef je daarvoor niet het internet af te struinen naar een betrouwbare site waar die programma te downloaden valt. In plaats daarvan installeer je het uit de repository van je distributie.

Deze packages worden uiteraard ook gesigned zodat je zeker weet dat er in transit niet mee gesjoemeld is.

Kan Windows nog veel van leren.

---

Ontopic: aan TS kan ik eigenlijk vooral aanraden om programma's alleen van de site van de developer te downloaden. Over het algemeen kun je er wel zeker van zijn dat dat legit is (mits de developer betrouwbaar is natuurlijk).

Downloadsites zoals download.com en (sinds kort) sourceforge.com moet je ten strengste vermijden, die sites zitten vaak vol met misleidende advertenties die zich voordoen als downloadbuttons. Ook de 'goede downloadlinks' zijn van repackaged installers met malware gebundeld.

Je bedoeld een soort van "Linux Store" waarbij iedere apt-get actie gevalideerd wordt?

[Deveon]

Windows heeft toch ook gewoon een eigen store..? Tja niet in 7, maar dat is ondertussen ook oude meuk aan het worden.

[Fish]

Compizfox schreef op zaterdag 03 oktober 2015 @ 18:39:
[...]

De repository wordt beheerd door de mensen achter de distro die je gebruikt. Mits je dus (om maar wat te noemen) het Debian project vertrouwt, kun je ook alle packages in de Debian repositories vertrouwen omdat die gesigned zijn door Debian.

Ja dat koomt dan toch wel op hetzelfde neer "vertrouwen" en geen garanties
als ik dus een niet debian repository toevog omdat hij niet in de debian repository zit dan zit ik toch in het zelfde schuitje als random windows software.
(kan serieus zijn dat ik het niet begrijp)

[Compizfox]

wimmel_1 schreef op zaterdag 03 oktober 2015 @ 18:41:
[...]
Je bedoeld een soort van "Linux Store" waarbij iedere apt-get actie gevalideerd wordt?

Ja, "App Store" is het naampje dat bedrijven als Apple en Google (en tegenwoordig ook Microsoft) aan het veel oudere idee van package management gehangen hebben.

Apt is een voorbeeld van een programma waarmee je software uit zo'n repository kunt installeren. Technisch gezien is apt een front-end voor dpkg, die het daadwerkelijke package management uitvoert, maargoed

---

Fish schreef op zaterdag 03 oktober 2015 @ 18:43:
[...]
Ja dat koomt dan toch wel op hetzelfde neer "vertrouwen" en geen garanties
als ik dus een niet debian repository toevog omdat hij niet in de debian repository zit dan zit ik toch in het zelfde schuitje als random windows software.
(kan serieus zijn dat ik het niet begrijp)

Je voegt geen repositories toe. Alhoewel, het kan wel, maar dat is niet waar ik op doel.

Debian is een voorbeeld van een Linux-distributie. Dat je Debian als project vertrouwt is wel een gegeven lijkt me, want je hebt immers het besturingssysteem zelf al geïnstalleerd...

Debian heeft een repository die momenteel meer dan 50k packages bevat. Er is dus een grote kans dat het programma dat jij zoekt, in de repository aanwezig is. Aangezien het in de repository zit, kun je er vanuit gaan dat het betrouwbaar is. En ja, dat zijn wel "garanties" want die packages zijn gesigned door Debian. Ik geloof niet dat er ooit malware in de Debian repositories aangetroffen is of iets dergelijks.

Andere voordelen van package management is dat het dependencies oplost (als programma X library Y nodig heeft, wordt dat automatisch geïnstalleerd), dat alles automatisch centraal geüpdatet kan worden en dat niet elk programma z'n eigen installer nodig heeft.

Zoals ik al zei is het wel mogelijk om repositories van derden toe te voegen, maar dat is over het algemeen niet nodig omdat vrijwel alle software die je nodig hebt in de Debian repository zit.

Nu heb ik even Debian gebruikt als voorbeeld, maar dit gaat uiteraard ook op voor andere distributies. Arch Linux is een ander voorbeeld van een distributie die zijn package management goed op orde heeft. De main Arch repository bevat meer dan 10k packages, en de AUR (die door de community beheerd wordt) gooit er daar nog eens meer dan 25k bovenop.

Ubuntu gebruikt hetzelfde package management als Debian (dpkg), maar heeft hun eigen repository. Hetzelfde geldt voor Mint.

[ Voor 67% gewijzigd door Compizfox op 03-10-2015 19:19 ]

[Fish]

snap ik, maar zelfs ik tamelijk linux noob heb wel repositories toe moeten voegen bij gebrek aan

geen idee meer waarvoor

[Verwijderd]

Ik ga even terug naar de vraag van TS: hoe weet je of, als je iets voor Wintendows Windows download, het eigenlijk wel veilig is? De kans is klein dat het veilig is. I.i.g. nooit een .exe draaien en nooit een .scr (sreen-saver) downloaden. Maar daarmee ben je natuurlijk nog niet veilig.
Dat hele MS-drama waar ik sinds Win95 al in zit, dat moet maar eens ophouden. Allemaal een beetje verstandig worden, allemaal controleerbare systemen draaien (die niet allemaal top zijn, maar wel controleerbaar = open source) en dan zijn er natuurlijk nog valkuilen, maar die kun je wel achterhalen.
Microsoft, zonde van je geld en kans op enorme gaten in de software die niet te achterhalen zijn.

[ Voor 1% gewijzigd door F_J_K op 03-10-2015 19:58 . Reden: Modbreakje: Laten we maar geen kinderachtige verbasteringen gebruiken in een discussie :Z ]

[Verwijderd]

Fish schreef op zaterdag 03 oktober 2015 @ 19:20:
snap ik, maar zelfs ik tamelijk linux noob heb wel repositories toe moeten voegen bij gebrek aan
geen idee meer waarvoor

Ik vind dit niet zo'n heel sterk argument. Je beweert zelf een Noob te zijn en geen idee te hebben waarvoor je iets heb gedaan. Waarom reageer je dan op dit forum? Wat voeg je toe?

[Fish]

Verwijderd schreef op zaterdag 03 oktober 2015 @ 19:28:
[...]

Ik vind dit niet zo'n heel sterk argument. Je beweert zelf een Noob te zijn en geen idee te hebben waarvoor je iets heb gedaan. Waarom reageer je dan op dit forum? Wat voeg je toe?

Ik probeer gewoon eerlijk te vergelijken. Waar jij grotendeels alleen windows aan het bashen bent. (naam verneuken en zeuren over de updates)

[Compizfox]

Fish schreef op zaterdag 03 oktober 2015 @ 19:20:
snap ik, maar zelfs ik tamelijk linux noob heb wel repositories toe moeten voegen bij gebrek aan

geen idee meer waarvoor

Tja, dat zegt niet zoveel natuurlijk. Je vertelt er niet bij welke distributie het om ging en hoe lang geleden dat was.

Ik heb zelf redelijk veel ervaring met Debian en Arch en bijna alles wat ik nodig heb kan ik uit de repo's van de distributie halen. Bij het incidentele geval waarbij dat niet zo is, moet ik het vanaf source builden en zijn er überhaupt geen binaries van te vinden.

@czar2020: Nee, jouw argumenten zijn sterk?

[Will_M]

Maar: Nou download de TS z'n Binaries uit een News groep..... Én toen?

[Croga]

Compizfox schreef op zaterdag 03 oktober 2015 @ 19:43:Tja, dat zegt niet zoveel natuurlijk. Je vertelt er niet bij welke distributie het om ging en hoe lang geleden dat was.

Ik heb zelf redelijk veel ervaring met Debian en Arch en bijna alles wat ik nodig heb kan ik uit de repo's van de distributie halen. Bij het incidentele geval waarbij dat niet zo is, moet ik het vanaf source builden en zijn er überhaupt geen binaries van te vinden.

Ik heb zelf redelijk wat ervaring met Debian, CentOS, Ubuntu, ClearOS en Mint en heb nagenoeg altijd repos moeten toevoegen omdat de bestaande repos alleen voorzien in de meest basale dingen. De vergelijking is dus niet zozeer repo vs. download. De vergelijking is distro-repo vs. Windows store: Beiden met een hoge mate van vertrouwen en daarna custom-repo vs. random download: Beiden met een lage mate van vertrouwen.

Build van source is al helemaal een compleet ander geval; dat kan in Windows ook, kan nagenoeg niet gedaan worden door de gemiddelde gebruiker en is in de basis ook niet veilig.

Er is geen enkel verschil, wat dit soort dingen betreft, tussen Windows en Linux. In beide gevallen is het enige wat telt; hoezeer vertrouw je de bron? En in beide gevallen zijn daar algemene gradaties te definieren.

[Fish]

wimmel_1 schreef op zaterdag 03 oktober 2015 @ 19:55:
Maar: Nou download de TS z'n Binaries uit een News groep..... Én toen?

Checksums ...

[Compizfox]

Croga schreef op zaterdag 03 oktober 2015 @ 19:57:
[...]
Ik heb zelf redelijk wat ervaring met Debian, CentOS, Ubuntu, ClearOS en Mint en heb nagenoeg altijd repos moeten toevoegen omdat de bestaande repos alleen voorzien in de meest basale dingen. De vergelijking is dus niet zozeer repo vs. download. De vergelijking is distro-repo vs. Windows store: Beiden met een hoge mate van vertrouwen en daarna custom-repo vs. random download: Beiden met een lage mate van vertrouwen.

Gek, zoals ik al zei is mijn ervaring juist het omgekeerde. Ik kan altijd alles wat ik nodig heb wel vinden in de repo's.

De Windows Store is ongeveer hetzelfde idee, maar toch weer niet helemaal. Het grootste verschil is dat het eigenlijk voornamelijk Metro-style 'apps' bevat. Voor normale desktopsoftware is het eigenlijk niet populair. Ik heb de Windows Store zelf eigenlijk nog nooit gebruikt, maar ik kom in elk geval nooit (bijvoorbeeld op de website van de developer) tegen dat een bepaald programma aangeboden wordt via de Windows Store.

Build van source is al helemaal een compleet ander geval; dat kan in Windows ook, kan nagenoeg niet gedaan worden door de gemiddelde gebruiker en is in de basis ook niet veilig.

Ik noemde builden van source omdat bijna alle software die ik niet in de repo's kan vinden überhaupt niet als binary verspreid wordt. En dan moet je het dus builden vanaf source.

Overigens kan dat wél veilig: met apt kun je ook de source van een programma binnentrekken omdat dan lokaal te builden. Omdat daarvan ook signatures worden gechecked is dat wel veilig.

De ports tree van FreeBSD is daar ook een goed voorbeeld van.

[Croga]

Compizfox schreef op zaterdag 03 oktober 2015 @ 21:21:
Gek, zoals ik al zei is mijn ervaring juist het omgekeerde. Ik kan altijd alles wat ik nodig heb wel vinden in de repo's.

Dan doe je blijkbaar heel eenvoudige dingen met je PC. Het soort dingen waar je voor Windows eenvoudig de software uit de store, of rechtstreeks van de fabrikant, kunt krijgen. Beide net zo goed betrouwbaar als de distro repos.

Wat ik vooral zie is dat de distro repos zowieso vaak achter lopen en dat "niet standaard" zaken (zoals bijvoorbeeld Zarafa) niet beschikbaar zijn. Op mijn ClearOS installatie heb ik 3 custom repos nodig en dan nog een stuk of 3 custom downloads.

De Windows Store is ongeveer hetzelfde idee, maar toch weer niet helemaal. Het grootste verschil is dat het eigenlijk voornamelijk Metro-style 'apps' bevat. Voor normale desktopsoftware is het eigenlijk niet populair. Ik heb de Windows Store zelf eigenlijk nog nooit gebruikt, maar ik kom in elk geval nooit (bijvoorbeeld op de website van de developer) tegen dat een bepaald programma aangeboden wordt via de Windows Store.

De Windows store is zowieso heel erg jong. Realiseer je goed dat "metro style apps" de toekomst van Windows software is; je zult steeds meer "standaard" software in dat jasje zien. Maar je hebt gelijk dat hij nog niet heel erg goed gevuld is; met de komst van Unification gaat dat, hopelijk, beter worden.

Overigens kan dat wél veilig: met apt kun je ook de source van een programma binnentrekken omdat dan lokaal te builden. Omdat daarvan ook signatures worden gechecked is dat wel veilig.

Zoals gezegd; alles ligt er aan in hoeverre je de bron vertrouwd. Als jij zegt dat source building veilig is omdat je het van de bron haalt, dan is downloaden van de fabrikant dus net zo veilig (tenzij jij zelf de hele source doorleest natuurlijk )

Bottomline; voor de vraag van TS maakt het geen ruk uit of je Linux of Windows gebruikt. De beste oplossing is altijd: In hoeverre vertrouw je de bron? Je eigen inzicht is in alle gevallen beter dan willekeurig welke tool je er op los laat (zeker voor TS aangezien die zelfs virus scanners niet vertrouwd; dan is er dus geen enkele tool die je dat vertrouwen gaat geven)

[Compizfox]

Croga schreef op zaterdag 03 oktober 2015 @ 22:11:
[...]
Dan doe je blijkbaar heel eenvoudige dingen met je PC. Het soort dingen waar je voor Windows eenvoudig de software uit de store, of rechtstreeks van de fabrikant, kunt krijgen. Beide net zo goed betrouwbaar als de distro repos.

Nee, niet echt eigenlijk...

Wat ik vooral zie is dat de distro repos zowieso vaak achter lopen en dat "niet standaard" zaken (zoals bijvoorbeeld Zarafa) niet beschikbaar zijn. Op mijn ClearOS installatie heb ik 3 custom repos nodig en dan nog een stuk of 3 custom downloads.

Geen idee hoe CentOS is qua repo's (geen ervaring mee), maar onder Debian hoef ik geen extra repo's toe te voegen. Alles wat ik wil, zit gewoon in de Debian repo's.

Alleen FreeRADIUS compileer ik van source omdat de versie van FreeRADIUS die in de repo's zit veel te oud is.

[...]
De Windows store is zowieso heel erg jong. Realiseer je goed dat "metro style apps" de toekomst van Windows software is; je zult steeds meer "standaard" software in dat jasje zien. Maar je hebt gelijk dat hij nog niet heel erg goed gevuld is; met de komst van Unification gaat dat, hopelijk, beter worden.

Ik hoop het niet. Ik heb dat hele Metro altijd al een achterlijk idee gevonden; het gaat gewoon niet werken om applicaties op de telefoon, tablet en PC dezelfde interface te geven. Telefoon en tablet kunnen natuurlijk prima geünificeerd worden, omdat die beide bediend worden met een touchscreen. Maar applicaties op een PC bedien je op een heel andere manier, een manier waar een touchscreen-interface meer in de weg zit dan handig is.

Ik ken trouwens ook niemand die Metro-apps gebruikt op Windows 8. Sommigen (waaronder ikzelf) installeren Classic Shell om er helemaal vanaf te zijn, maar ook de mensen die dat niet doen 'negeren' de Metro-apps volledig.

Maar volgens mij raken we ondertussen best wel off-topic

[...]

Zoals gezegd; alles ligt er aan in hoeverre je de bron vertrouwd. Als jij zegt dat source building veilig is omdat je het van de bron haalt, dan is downloaden van de fabrikant dus net zo veilig (tenzij jij zelf de hele source doorleest natuurlijk )

In pricipe lijkt me dat veilig genoeg, maar dat is niet waar ik op doelde. Met apt-get source kun je namelijk ook de source van programma's binnenhalen via Debian's repo's. Dan weet je dus ook nog dat het als veilig wordt gezien door de Debian Package Maintainers.

[Croga]

Compizfox schreef op zaterdag 03 oktober 2015 @ 22:33:In pricipe lijkt me dat veilig genoeg, maar dat is niet waar ik op doelde. Met apt-get source kun je namelijk ook de source van programma's binnenhalen via Debian's repo's. Dan weet je dus ook nog dat het als veilig wordt gezien door de Debian Package Maintainers.

Maar als de source in de repos staat, waarom dan niet de binary?
Ofwel: Ik geloof nooit dat er veel software is waarvan de source wél en de binaries níet in de repos zitten. Ergo: Het verhaal blijft hetzelfde; de keuze om software te vertrouwen is op beide platformen hetzelfde.

daft_dutch schreef op woensdag 30 september 2015 @ 20:44:
in Windows "veilig" een binary downloaden
- gebruik altijd een virus scanner
- gebruik bij voorbaat de windows app store

En hier moet er nog één tussen:
- Vertrouw je de bron?

- zo niet check eerst de site op www.virustotal.com
- indien "clean site" ga na of de site eventueel addware serveert
- download de binary
- check de file op www.virustotal.com -
- installeer gebruik binary (let op op eventuele addware)

Als je de bron vertrouwd (bijvoorbeeld omdat het rechtstreeks van de makers van de software af komt) dan hoef je de rest allemaal niet te doen.

In principe komt alles simpelweg neer op vertrouwen. Vertrouw je je browser? Vertrouw je de bron? Vertrouw je je controle mechanisme?

[ Voor 36% gewijzigd door Croga op 03-10-2015 22:49 ]

[Croga]

.

[ Voor 99% gewijzigd door Croga op 03-10-2015 22:49 ]

[Hero of Time]

Modbreak:

Kan de hele Linux discussie nu stoppen? Als je 't over Linux wilt hebben, doe je dat maar in Non-Windows Operating Systems, wat ervoor gemaakt is. Het hele topic is nu ontspoort en redelijk nutteloos geworden. Dat kan niet de bedoeling zijn.

[Will_M]

Hero of Time schreef op zaterdag 03 oktober 2015 @ 22:55:
[modbreak]Kan de hele Linux discussie nu stoppen? Als je 't over Linux wilt hebben, doe je dat maar in Non-Windows Operating Systems, wat ervoor gemaakt is. Het hele topic is nu ontspoort en redelijk nutteloos geworden. Dat kan niet de bedoeling zijn.[/modbreak]

Ga jij de standaard MS gebruiker dan ook uit leggen dat 'ie niet alles moet gaan vertrouwen op het moment dat 'ie iets "gratis" download vanuit een "binary"?

[Wim-Bart]

Snap de discussie niet. Wanneer TS de software gewoon download uit de Windows Store, of bij de maker van de Software, of via Steam en/of andere officiële distributeurs kan er weinig fout gaan.

Virusscanner er bij dan gaat het gewoon goed. Hashes zijn handig wanneer je van onbekende source download, maar waarom zou je van onbekende bron downloaden, winzip downloaden bij cracks.am is vragen om moeilijkheden. Binaries van download/ftp/torrents/newsgroepen is eveneens vragen om moeilijkheden.

Op het moment dat je je al af vraagt of een bron betrouwbaar is is het simpel, zorg voor een betrouwbare bron.

[Hero of Time]

wimmel_1 schreef op zaterdag 03 oktober 2015 @ 23:04:
[...]


Ga jij de standaard MS gebruiker dan ook uit leggen dat 'ie niet alles moet gaan vertrouwen op het moment dat 'ie iets "gratis" download vanuit een "binary"?

Iedereen die Windows gebruikt weet dat er risico's zijn bij het downloaden van uitvoerbare bestanden, gratis of niet. Voor alles, niet alleen bij computers met Windows, gaat het gezegde "Als het te mooi is om waar te zijn, dan is dat het meestal ook zo". Iemand die dit niet snapt en de boel om zeep helpt, verdient 't ook gewoon.

[Will_M]

Hero of Time schreef op zaterdag 03 oktober 2015 @ 23:21:
[...]

Iedereen die Windows gebruikt weet dat er risico's zijn bij het downloaden van uitvoerbare bestanden, gratis of niet. Voor alles, niet alleen bij computers met Windows, gaat het gezegde "Als het te mooi is om waar te zijn, dan is dat het meestal ook zo". Iemand die dit niet snapt en de boel om zeep helpt, verdient 't ook gewoon.

Je hebt in de gaten dat je daarmee tegenwoordig het merendeel van de "T.Net" klanten feitelijk als "dom" beschouwd?

[Hero of Time]

wimmel_1 schreef op zaterdag 03 oktober 2015 @ 23:42:
[...]


Je hebt in de gaten dat je daarmee tegenwoordig het merendeel van de "T.Net" klanten feitelijk als "dom" beschouwd?

Dat zijn jouw woorden, niet de mjne.

[daft_dutch]

Fish schreef op zaterdag 03 oktober 2015 @ 18:43:
[...]

Ja dat koomt dan toch wel op hetzelfde neer "vertrouwen" en geen garanties
als ik dus een niet debian repository toevog omdat hij niet in de debian repository zit dan zit ik toch in het zelfde schuitje als random windows software.
(kan serieus zijn dat ik het niet begrijp)

Ja dat klopt. Ik denk niet dat automatisch een certificaat van een toegevoegde repository vervalt als er invalide Binaries worden gedecreteerd. Maar dan heb je in ieder geval de keuze om die packages te "vertrouwen" of elke update van die source handmatig te bevestiging .


Back to the topic:
wtf voor als heb je in de app store. alleen maar end-user meuk.
Voorbeeld waar ik nu naar zocht was een "simpel" https stripping software voor Windows om een https encrypted soap call te kunnen sniffen(voor simpele mensen die niets van sniffen weten maar allerlei meuk over de lijn gooien) Dan kom je natuurlijk ook op sites waar je niet zou moeten komen.

Hmmzz dacht ik ik ben nu al een minuut bezig om de kijken of ik dit wel kan executeren.. Kan dat niet makkelijker..

[ Voor 29% gewijzigd door daft_dutch op 04-10-2015 19:14 ]

[Ryanirin]

Lijkt me niet heel lastig; als je software van reputabele uitgevers download volstaat de beveiliging van je browser, windows, en een virusscanner.
Zoals je net aangeeft en software download waarover je twijfelt, lekker in een VM draaien.

[Compizfox]

Wat dacht je van SSLStrip, dé software hiervoor?

https://github.com/moxie0/sslstrip

Weet alleen niet of het ook werkt onder Windows, maar het is Python, dus met een beetje geluk wel?

[Gomez12]

daft_dutch schreef op zondag 04 oktober 2015 @ 18:57:
[...]
Voorbeeld waar ik nu naar zocht was een "simpel" https stripping software voor Windows om een https encrypted soap call te kunnen sniffen(voor simpele mensen die niets van sniffen weten maar allerlei meuk over de lijn gooien) Dan kom je natuurlijk ook op sites waar je niet zou moeten komen.

Hmmzz dacht ik ik ben nu al een minuut bezig om de kijken of ik dit wel kan executeren.. Kan dat niet makkelijker..

Realiteit is : Nope, dat kan niet makkelijker. Dit soort software heeft bijna elke dag een nieuwe versie etc en daarmee vervalt elk nut van een app-store die dit niet kan bijbenen.

Plus dat daarbovenop het bijna geen publiek trekt etc.

Dit soort software is ook maar heel matig aanwezig in linux-repo's etc (wat in basis app-stores zijn die al tig jaar bestaan)

[daft_dutch]

Gomez12 schreef op maandag 05 oktober 2015 @ 00:08:
[...]

Realiteit is : Nope, dat kan niet makkelijker. Dit soort software heeft bijna elke dag een nieuwe versie etc en daarmee vervalt elk nut van een app-store die dit niet kan bijbenen.

Niet waar dat is juist een punt om een app-store te hebben. Dat je niet de laatste versie van een app hebt die door een developer goed genoeg gevonden is. maar de laaste versie die ondersteunt is voor jou OS en daar op ook getest is met alle security fixes. Zo dat er niet opeens een upgrade gedaan wordt waarna je PC/OS/App kaboem doet.

Dit soort software is ook maar heel matig aanwezig in linux-repo's etc (wat in basis app-stores zijn die al tig jaar bestaan)

Niet waar staat er wel in
Daarbij waarom een rare app gebruiken als je een bijgeleverde voorbeeld apache configuratie kan pakken en daar 4 regeltjes in kan plaken?

[Rannasha]

Wat meer terug ontopic: Een tool die je ook nog kunt gebruiken is Sandboxie.

Dit is een programma waarin je executables in een eigen sandbox kunt draaien, afgezonderd van de rest van het systeem. Niet per se geschikt voor grote softwarepakketten die je vaak gaat gebruiken, maar wel handig voor kleine stukjes software van minder bekende bronnen die je slechts een enkele keer nodig hebt.

En weer minder ontopic: Voor- en nadelen van repositories / packet managers.

Hoewel er zeker grote voordelen aan een dergelijke methode van distributie zitten is het niet enkel rozengeur en maneschijn. De repo bevat niet altijd alles wat je nodig hebt en de software in de repo kan vrij oud zijn, puur omdat het updaten van de repo ook mensenwerk is en afhankelijk van de hoeveelheid mankracht die een distro heeft, kan het nog wel eens even duren voordat een update in een repo is opgenomen.

Daarnaast ben je afhankelijk van de integriteit van de beheerders van de repository. Niet lang geleden was er een situatie waar de persoon die verantwoordelijk was voor de Bitcoin software in de Gentoo repo er voor koos om niet de main branch van de software op te nemen, maar zijn eigen fork met daarin een aantal nogal controversiele wijzigingen. Als gebruiker die puur op een packet manager vertrouwt, ben je afhankelijk van een dergelijke tussenpersoon. Een afhankelijkheid die je niet hebt als je je software direct van de ontwikkelaar haalt.