שלום רב,

ברצוני לקבל מידע

שלום רב,

ברצוני לקבל מידע אודות חתימות דיגיטליות, בנושא ספציפי- איך חתימות דיגיטליות משפיעות על המשתמש מבחינה פסיכולוגית והאם הן פרמטר בשבילו לקבוע איזו תוכנה בטוחה ואיזו לא, ואם זה משפיע על מעשיו.

אני אפרט קצת רקע:
בשימוש ב- Windows XP service pack 2, כשלוחצים על הורדת תוכנה כלשהי קופץ חלון שמציג את שם המפרסם של התוכנה. אם המפרסם בחר לרכוש חתימה דיגיטלית (הדבר מתבצע ע"י פניה לאחת מנותנות השירות הזה- המפורסמות שביניהן הן Verisign ו- Thawte ותשלום כמובן) יופיע שם המפרסם וסימן צהוב של Windows בתחתית הדף (כביכול, כתוכנה בטוחה יותר). אם לא - יופיע במקום שם המפרסם "Unknown Publisher" ואייקון אדום עם איקס, בדומה לזה שמופיע כשהאנטי וירוס לא מעודכן או שיש סכנה למחשב.

החשש שלי הוא שאותו אייקון אדום שמופיע בתחתית הדף עלול להשפיע על המשתמש פסיכולוגית ולגרום לו לחשוב שהתוכנה פחות בטוחה מאחת שכן יש עליה מפרסם (גם אם הוא לא מוכר למשתמש, וזה עסק שפתוח להמון רמאויות), והאם זה ירתיע אותו מלהוריד את התוכנה.

אשמח לקבל סטטיסטיקות או מחקרים שנערכו בנושא - אולי מצד חברות שמשווקות תוכנות, או מצד נותני האישורים עצמן , שנקראים Certifying Authoritues, שמשווים בין אחוז המשתמשים שהורידו תוכנה ללא חתימה דיגיטלית לעומת עם חתימה, או כל מאמר שמדבר על ההשפעה של חתימה כזו על המשתמש, על תחושת הבטחון שלו ועל הדרך בה ינקוט.

תודה רבה!

חתימה דיגיטלית (מעתה נתייחס אליהן כ "חתימות")היא סוג של הצפנה אסימטרית, שמשמשת להדמות חתימה אמיתית, כבעולם האמיתי.
חתימות מספקות אלמנט הידוע בשם Integrity, כלומר העובדה שהחבילה שהוצפנה לא השתנתה, זה נעשה ע"י קידוד של כל החבילה אותה רוצים לשלוח, דבר שידוע כ סוג של CRC,
כלומר במילים אחרות: נלך על כל הקוד ונרכיב איזו שהיא מילה שמשקפת את מצבו של הקוד, ונצרף את המידע הזה לסוף או להתחלתו של הקוד, בכל פעם שיעשה שימוש בחבילה, לדוגמה קובץ EXE,
מערכת ההפעלה תבצע את הסריקה כפי שעשינו קודם, לפי הוראות שאנו משאירים לה, ואחר-כך תשווה את התוצאה שהיא קיבלה, יחד עם המידע שהשארנו לה בתחילת (או בסופו של הקובץ).
עד כאן מידע אימות.

פונקציות נפוצות ליצירת "חתימה" הן SHA-1, MD5, RIPEMD-160
ההסבר עליהן חורג מעט מאופי התשובה כאן,
במידה ותחפוץ תוכל תמיד לשאול אותי על כך באופן ספציפי שוב.

בחלונות יש אפשרות מהירה ליצור חתימה עבורך, שתצטרף אוטומטית להודעות-דואר או לפי בחירתך לשורות קוד (במידה ואתה עוסק בפיתוח אזי- זה רלוונטי), עבור זה תצטרך להוריד את חבילת הקריפטוגרפיה מאתר מייקרוסופט (ולהתקין אותו במחשבך).

חתימת תוכנות, או אתרים בצורה רשמית, עולה סכום כסף לא מבוטל,
וזאת משום שהחברה שמספקת את המפתח ואת הודעת האימות שקופצת בחלון למטה בשעה שאתה גולש באינטרנט מתחייבת על ראשה כי האתר מאומת ובטוח (SSL וכדומה),
הגוף שמאושר בדרך כלל משלם באופן חודשי על כך שההודעה תמשיך להיות מעודכנת, אחרת תיתקל בהודעה מפחידה סטייל- לא ניתן היה לאמת את אמינות האתר X האם ברצונך להמשיך- בוא רק נגיד שרוב האנשים שהושרשו להם הפניקות של הוירוסים (החל משנות ה-90),
בחיים לא ילחצו על "OK" ולא משנה אם האתר מכיל מתכונים לעוגיות שנתרמו לילדים חולים על ידי סבתות חביבות.
עד כדי כך אני יכול להעיד,
ומה שאני יכול להעיד כחבר בקהילות פיתוח תוכנה, המצב שם גם זהה, ברוב המקרים לא ניכנס לברר מה תכני-האתר.

מבחינות פסיכולוגיות אחרות,
תוכנות רבות מכילות מידע לא מאומת, או דרייברים שלא "נחתמו",
כאן אני שמח (או לא..) להגיד שהמצב שונה לגמרי, בגלל באג מאוד לא חביב של מייקרוסופט לפני 4 שנים, בגרסאות הראשונות של מערכת ההפעלה XP, כל התקנה של תוכנה, גררה הודעה סטייל התוכנה איננה חתומה על ידי מייקרוסופט, האם ברצונך להמשיך...?

רוב האנשים התרגלו אוטומטית ללחוץ כבר כן,
ב WINDOWS XP SP2, הגיע "עינוי" חדש למשתמשים מתקדמים, שהיו צריכים עכשיו לאשר כל התקנת דרייבר שלא היה "חתום על ידי מייקרוסופט", דבר שהצריך שוב תנועה אוטומטית לעכבר ולחיצה על CONTINUE ANYWAY...
במחוזותינו (עיין ערך..) פעולה זו נקראת קליק מייקרוסופט
חצי-אוטומטי.

ושוב,
להרחבות כאלו ואחרות שלח שאלה נוספת המיועדת אלי, כדי שאדע לענות אליך ספציפית.

בברכה,
אלעד

התשובה ניתנה על ידי מומחה KOL מר אלעד ק

---