Authenticode per GPO deaktivieren

Stehe ich auf Sicherheit? Auf jeden Fall! Doch in genau einem Fall ärgert mich eine Sicherheitseinstellung seit geraumer Zeit: Authenticode

Der Grundgedanke hinter Authenticode ist prima. Wenn Windows signierten Code in ausführbaren Dateien findet, prüft es zuerst beim Herausgeber des jeweils verwendeten Signaturzertifikats, ob das Zertifikat mittlerweile zurückgerufen wurde. Sinnvoll, damit sich zum Beispiel nicht jemand nach dem jüngsten Hacker-Einbruch in eine CA (DigiNotar, aber weitere folgen bestimmt noch) als ein vertrauenswürdiger Softwarehersteller ausgeben kann.

Der Mechanismus tritt allerdings gehörig auf die Bremse, wenn die Prüfung auf zurückgezogene Zertifikate (Abruf der Sperrlisten) mangels einer Internetverbindung gar nicht durchgeführt werden kann. Dies gilt unter Umständen auch, wenn Proxies im Spiel sind – je nach Konfiguration. So startet dann in abgeschotteten Labs der EUEM-Dienst von Citrix EdgeSight auf Terminalservern nicht – so dass effektiv gerade die interessante Daten über die Anmeldung von Benutzern verloren gehen.

Um für einzelne ausführbare Dateien den Authenticode-Mechanismus zu unterbinden, reicht es aus, in das Verzeichnis der Datei (z.B. semsservice.exe) eine Textdatei zu legen, die den Namen und die Dateityperweiterung der Exe-Datei trägt, ergänzt um “.config”, also z.B. semsservice.exe.config

Als Inhalt der Datei sind folgende Zeilen XML-Code zu benutzen:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
    <runtime>
        <generatePublisherEvidence enabled="false"/>
    </runtime>
</configuration>

Dies hilft vor allem Systemdiensten und –dateien, aber will ich mir diese Mühe für etliche Exe-Dateien für alle User eines Terminalservers machen? Nein. Für den User gibt es eine passende Einstellung im Internet Explorer (Extras / Optionen / Erweitert / Sicherheit / auf zurückgezogene Herausgeberzertifikate prüfen).

Hier gibt es natürlich auch Schützenhilfe durch eine GPO von Microsoft – allerdings in einer Ecke, die vielen noch unbekannt zu sein scheint, daher dieser Blogbeitrag – gewidmet vor allem einer netten “Pastorin” :-)

Los geht’s!

Ausgangspunkt der Reise ist die GPMC.

Hier erstelle ich eine neue GPO, natürlich kann man auch eine bestehende GPO überarbeiten.

Allerdings biegen wir nun nicht (wie sonst so oft) in die administrativen Vorlagen ab, sondern wechseln in die “Preferences” zu den “Internet Settings”:

Hier kann nun mit einem Rechtsklick eine neue Einstellung generiert werden, passend zur Internet Explorer Version:

Das folgende Dialogfeld ist dem Internet Explorer Einstellungsdialogfeld nachempfunden, um das Setzen von Einstellungen intuitiver zu gestalten, hier kann also genau wie im “echten” Internet Explorer die gewünschte Einstellung getätigt werden – in unserem Fall: “Check for publisher’s certificate revocation”:

Das war’s – Adiós Authenticode, allerdings ein Kompromiss zu Lasten der Sicherheit…