Wir haben in letzter Zeit eine Zunahme von Microsoft SmartScreen-Warnungen festgestellt, wenn Nutzer versuchen, ihre signierten Anwendungen auszuführen.
Dieser Blog-Beitrag erläutert, warum dies geschieht, wie die SmartScreen-Reputation funktioniert (basierend auf den neuesten Informationen von Microsoft) und was Sie künftig erwarten können.
Was ist die SmartScreen Reputation?
Microsoft SmartScreen ist ein auf der Reputation, also dem Ruf eines Produkts, basierendes Sicherheitssystem, das heruntergeladene Anwendungen überprüft, bevor deren Ausführung erlaubt wird.
Microsoft definiert SmartScreen mit folgenden Funktionen:
- Reputation des Herausgebers → Vertrauenswürdigkeit des Code Signing-Zertifikats
- Reputation der Datei (Hash) → Angabe, ob genau diese Datei bereits häufig heruntergeladen wurde und als vertrauenswürdig gilt (Microsoft Learn)
Das bedeutet, dass Vertrauen nicht sofort entsteht – selbst bei ordnungsgemäß signierten Anwendungen.
Warum werden SmartScreen-Warnungen angezeigt?
Es können Warnungen wie diese angezeigt werden: „Windows hat Ihren PC geschützt“
Dies tritt typischerweise auf, wenn Folgendes zutrifft:
- Die Anwendung ist neu oder wurde erst vor Kurzem veröffentlicht
- Die Datei wird nur selten heruntergeladen
- Es wird ein neues Zertifikat verwendet
- Die Binärdatei hat sich geändert (neue Version = neuer Datei-Hash)
Microsoft stellt klar, dass jede Datei ihre eigene Reputation aufbauen muss, die auf der tatsächlichen Nutzung basiert (Microsoft Learn)
Selbst kleine Aktualisierungen setzen die Reputation einer Datei zurück.
Wichtige Erkenntnis: Eine Signatur allein reicht nicht aus
Es gibt einen weit verbreiteten Irrtum:
Wenn meine Anwendung signiert ist, sollten keine SmartScreen-Warnungen angezeigt werden.
Aber so funktioniert SmartScreen nicht.
- Code Signing gewährleistet die Identität und die Integrität
- SmartScreen bewertet die Reputation im Laufe der Zeit
Eine gültige Signatur bedeutet also kein sofortiges Vertrauen
EV-Zertifikate im Vergleich zu standardmäßigen Code Signing-Zertifikaten
In der Vergangenheit trugen EV-Zertifikate dazu bei, die Reputation schneller aufzubauen. Nach den aktuellen Angaben von Microsoft gilt jedoch:
- Sowohl EV-Zertifikate als auch Standardzertifikate basieren auf dem Reputationsaufbau
- Entscheidend sind also nach wie vor die Akzeptanz in der Praxis und Signale, die Vertrauen ausdrücken
Seine Reputation muss man sich erst verdienen.
Wie sich die SmartScreen-Reputation entwickelt
Eine Reputation verbessert sich mit der Zeit, wenn Folgendes zutrifft:
- Nutzer laden die Anwendung herunter und installieren sie
- Es wurde kein böswilliges Verhalten festgestellt
- Der Herausgeber signiert die Software durchgängig
SmartScreen nutzt Telemetrie und Signale, um festzustellen, ob eine Software häufig heruntergeladen wird und sicher ist.
Bis zu dieser Feststellung wird die Anwendung als „unbekannt“ behandelt und mit „Vorsicht“ gekennzeichnet.
Warum das heutzutage so wichtig ist
Angesichts der fortlaufenden Sicherheitsverbesserungen im Microsoft-Ökosystem wird SmartScreen immer strenger und orientiert sich zunehmend an der Reputation.
Dies bedeutet:
- Bei neuen Anwendungen werden fast immer zunächst Warnmeldungen angezeigt
- Updates und neue Versionen setzen das Vertrauen vorübergehend zurück
- Bei kleineren oder Nischenanwendungen kann es daher länger dauern, bis die Reputation aufgebaut ist
Was das für GlobalSign-Kunden bedeutet
Folgendes muss klargestellt werden:
-
SmartScreen-Warnungen bedeuten NICHT Folgendes:
- Ungültige oder kompromittierte GlobalSign-Zertifikate
- Probleme mit Ihrem Signaturverfahren
- Sicherheitslücken bei Ihrer Anwendung
-
Sie bedeuten Folgendes:
- Die Anwendung hat noch keine ausreichende Reputation aufgebaut
Bewährte Methoden zur Reduzierung von SmartScreen-Warnungen
So können Sie schneller die Reputation aufbauen und Warnungen minimieren:
- Konsistenz der Zertifikate gewährleisten
- Verwenden Sie für alle Versionen dieselbe Herausgeberidentität
- Verbreitung ausbauen
- Fördern Sie Downloads aus vertrauenswürdigen Quellen
- Alle Versionen signieren
- Stellen Sie sicher, dass jede Binärdatei richtig signiert und mit einem Zeitstempel versehen ist
- Häufige Zertifikatswechsel vermeiden
- Bei neuen Zertifikaten muss die Reputation neu aufgebaut werden
- Mit den Nutzern kommunizieren
- Weisen Sie die Nutzer darauf hin, dass bei neuer Software anfangs mit Warnmeldungen zu rechnen ist
Fazit
SmartScreen dient dazu Nutzer vor unbekannter Software zu schützen, nicht dazu, Zertifikate zu validieren.
Selbst bei Verwendung der vertrauenswürdigen Code-Signing-Zertifikate von GlobalSign gilt:
- Der Aufbau einer guten Reputation braucht Zeit
- Anfänglich ist mit Warnungen zu rechnen
- Vertrauen entsteht erst durch den praktischen Einsatz
Durch das Verständnis dafür, wie das SmartScreen-Reputationsmodell von Microsoft funktioniert, können die richtigen Erwartungen geweckt werden – sowohl bei Entwicklern als auch bei Endnutzern. Bei Fragen zu SmartScreen-Warnungen oder dazu, wie sich die Reputation im Laufe der Zeit aufbaut, wenden Sie sich bitte an den GlobalSign-Support.
