Update zu heidoc.net und ‘Windows und Office ISO Download Tool’

Gestern gab es ja hier im Blog den Artikel Aus für heidoc.net und das ISO Download-Tool?, in dem ich auf die ausgefallene Site heidoc.net und das nicht mehr funktionierende "Windows und Office ISO Download Tool" einging. Zwischenzeitlich funktioniert beides wieder – und ich kann wohl das Puzzle etwas auflösen, was passiert ist.

Das passiert im Maschinenraum meines Blogs

Zuerst ein kurzer Blick in den Maschinenraum dieses Blogs. Im Internet stellen Verlinkungen quasi das Rückgrat der Funktionalität dar. Schnell ein Link gesetzt und der Leser kann zum betreffenden Webdokument springen. Doof: Immer wieder werden diese Verweisziele gelöscht, Webauftritte gehen offline oder es treten Fehler (Serverausfälle, DDoS-Angriffe etc.) auf, so dass die Linkziele nicht mehr erreichbar sind.

Seit dem Bestehen dieses Blogs sind viele Tausend Links gebrochen, so dass ich das alles nicht mehr per Hand kontrollieren kann. In meinem Blog läuft deshalb ein Plugin mit, welches alle Links im Blog zyklisch auf Funktionalität überprüft. Als gebrochen gemeldete Links werden von mir per Hand überprüft. Meist kann ich dann entscheiden, ob ein Server kurz ausgefallen ist, die Site entfernt oder ein Artikel gelöscht wurde.

Stellt sich das Ganze als gelöscht heraus, lasse ich den Link aufheben. Das ist auch der Grund, warum in älteren Artikeln manche Linklisten plötzlich reine Texteinträge enthalten. Und es ist auch der Grund, warum Links bei der Anzeige vielleicht als durchgestrichen angezeigt werden (dann hat das Plugin das Ziel als nicht erreichbar erkannt, ich habe das aber noch nicht überprüft).

Noch eine Anmerkung: Früher habe ich oft noch Seiten in der WayBack Maschine als Ersatz-Link-Ziel eingetragen. Da diese Seiten irgendwann auch herausfallen, gehe ich zwischenzeitlich dazu über, die Links konsequent aufheben zu lassen (es gibt Tage, da bekomme ich 20, 30 oder 100 gebrochene Links gemeldet).

Was ist gestern passiert?

Bei der Anmeldung an der Administratoroberfläche des Blogs sah ich, dass eine Reihe Links als gebrochen gemeldet wurden. Darunter waren auch einige Verweise auf heidoc.net. Als ich dann den Link Link zu https://www.heidoc.net/joomla/technology-science/microsoft/67-microsoft-windows-iso-download-tool im Browser überprüfte, gab es die Seite nicht mehr.

Meine schnelle Überprüfung zeigte mir zudem, dass die gesamte Domain www.heidoc.net auf eine "free online auctions for pnom penh" (cambobid.com) verwies. Der nächste schnelle Check galt dem "Windows und Office ISO Download Tool", welches mir diesen Fehler zeigte:

Und im Verlauf des Vormittags wurde mir die Site heidoc.net im Chrome Browser sogar als gesperrt angezeigt, weil ein Zertifikatfehler vorlag. Zudem hatte ich bei Dr. Windows Hinweise gelesen, dass neue Downloads des "Windows und Office ISO Download Tool" als mit einem Trojaner verseucht gemeldet würden. Das war dann der Zeitpunkt, an dem ich den Blog-Beitrag Aus für heidoc.net und das ISO Download-Tool? publizierte.

Update: Tool und die site geht wieder – was war passiert?

Am Abend erhielt ich eine Mail von den deskmodder.de-Kollegen (danke an moinmoin für den Hinweis), die mich informierten, dass die Site und das Tool wieder lief. Bei deskmodder.de und bei Dr. Windows hatte man nämlich auf Grund meiner Hinweis die Site und das Tool überprüft und entsprechende Hinweise gepostet.

Nun hat Jan Krohn (der Betreiber von heidoc.net) sich in einem Kommentar im Blog gemeldet und die Sache (teilweise) aufgeklärt.

Sorry, mein Fehler… Bei der Installation meines SSL-Zertifikates habe ich meine beiden Domains vertauscht. Asche auf mein Haupt… Version 3.20 kommt bald, mitsamt integrierten Download-Listen fuer den Fall dass heidoc.net unerreichbar ist.

An dieser Stelle ein dickes Danke an Jan für den Hinweis – und ein Sorry an meine Blog-Leser für den Fehlalarm. Ich hatte einfach ein paar Informationen, die sich verifizieren ließen (Ausfall des Servers bzw. neuer Auftritt unter heidoc.net, Ausfall des Download-Tools) mit weiteren Informationen (das Jan in Kambodscha weilt, um sich neuen Aufgaben im religiösen/sozialen Bereich zu widmen) kombiniert. So ergab sich das fehlerhafte Bild, dass "vorne" technische Änderungen bei Microsoft die Funktion des Tools unmöglich machten und Jan sich daher entschlossen hat, das Angebot auf heidoc.net einzustellen.

Noch ein paar Infos zwischen den Zeilen

Wie ihr in den Kommentaren zum gestrigen Beitrag sehen könnt, läuft der Windows ISO Downloader ja wieder – und es gibt ein paar Erklärungen, aber nicht die ganze Wahrheit. Ich lese wieder etwas zwischen den Zeilen und kombiniere meine Beobachtungen, so dass die Puzzlesteine in ein für mich stimmiges Bild fallen.

• Jan Krohn betreibt zwei Sites mit separaten Domains, einmal heidoc.net und die Auktionsseite für Pnom Penh.
• Er hat die Sites auf https umgestellt und musste wohl SSL-Zertifikate zuweisen – ob dies gestern erstmals passierte, weiß ich nicht.
• Meiner Mutmaßung nach hat er die (MX) Einträge beim Provider, die die URL auf die jeweiligen Webauftritte mappen in einem ersten Schritt vertauscht. Nur so ist zu erklären, dass gestern eine Zeit lang auf die Auktionsseite zeigte.
• Das erklärt auch, dass die Verweise auf die Joomla-Installation bei mir im Blog gebrochen waren.
• Dann stellt es sich mir so dar, als ob der Fehler bemerkt wurde und die Zuweisung der URLs auf dem Webserver geändert wurden. Gleichzeitig gab es aber wohl noch eine Verwechselung der SSL-Zertifikate, wie Jan Krohn im Kommentar schreibt. Führte dazu, dass der Chrome Browser beim späteren Aufruf von heidoc.net die Seite sperrte.
• Der Ausfall des 'Windows und Office ISO Download Tool' war dann ein Folgefehler. Um die Download-Links der ISOs zu ermitteln, sind bisherige Versionen des Tools auf die Kommunikation mit dem heidoc.net-Server angewiesen. Steht der Server, streikt das Tool.

So genial das Tool ist, zeigt der Vorfall, dass der Teufel im Detail liegt und vieles eine wackelige Angelegenheit ist (kein Vorwurf an Jan). Ich erinnere nur an meinen Beitrag Google Chrome zeigt http-Seiten 'demnächst' als unsicher an vor einer Woche – wo es den Kommentar "na dann stelle doch einfach um, ein SSL-Zertifikate lässt sich auch gratis per Lets Encrypt beziehen" gab. Der aktuelle Fall zeigt, wie sich die Komplexität durch solche Maßnahmen erhöht, obwohl Jan gute Gründe für die Umstellung seiner Domains auf https-Übertragung hat.

Zurück zum ISO-Downloader

Zurück zum ISO-Downloader: Wohl auf Grund dieses Vorfalls hat Jan Krohn angekündigt, eine Version 3.20 des Tools herauszubringen, welche die erforderlichen Techbench Link-Listen zum Zugriff auf die Microsoft Download-Server mitbringt. Macht das Tool dann unabhängig davon, ob der heidoc.net-Server läuft oder nicht. Hier zeigt sich der klassische Zielkonflikt, den man als Entwickler hat.

• Die bisherige Lösung von Jan Krohn, die Techbench Link-Listen zum Zugriff auf die Microsoft Download-Server auf heidoc.net vorzuhalten und vom Tool dynamisch abrufen zu lassen, eröffnet die Möglichkeit, diese Listen bei Fehlern oder Änderungen zentral anpassen zu können.
• Diese Lösung hat aber auch einen Sicherheitsaspekt: Gelingt es Dritten, die Liste mit dem Download-Links zu manipulieren, könnten dem ISO-Downloader durchaus mit Malware verseuchte ISO-Downloads untergeschoben werden.

Jetzt hat Jan Krohn die Version 3.20 des 'Windows und Office ISO Download Tool' angekündigt, welches die Techbench-Download-Link-Listen beinhaltet. Das Tool wird dann nicht mehr auf den Server angewiesen sein. Nachteil ist halt: Jede Änderung in den Link-Listen führt dazu, dass 'Windows und Office ISO Download Tool' in einer neuen Version bezogen werden muss – es sei denn Jan implementiert eine dynamische Aktualisierung der lokalen Liste über seinen Server.

Zu den Berichten auf Dr. Windows, dass das Tool von Virenscannern als mit einem Trojaner verseucht geblockt würde, kann ich nichts sagen. Ich habe diese Meldungen in meinen Kopien des Tools nie gehabt. Das Ganze zeigt aber, wie komplex die Angelegenheit ist und welches Risiko lauert.

Die von mir im Artikel Aus für heidoc.net und das ISO Download-Tool? genannte Ersatzlösung in Form der Seite TechBench dump auf GitHub dürfte für erfahrene Benutzer aus dieser Sicht die bessere Anlaufstelle sein. Ich brauche kein Tool, sondern bekomme die Download-Links in einer Webanwendung genannt.

Aber auch hier die kleine Warnung: Das Ganze ist zwar per https abgesichert, aber man muss darauf vertrauen, dass der Github-Auftritt nicht gehackt und manipuliert wurde. Und wenn der Github-Server steht ist auch Schicht im Schacht. Zudem wird für Windows 7 SP1 keine deutschsprachige ISO aufgeführt – was viele End-Anwender außen vor lässt.

Um vor kompromittierten Techbench-Listen halbwegs gefeit zu sein, sollte man mit "Sinn und Verstand" vorgehen und die Download-Links anschauen.

Zeigt man im Browserfenster auf einen Download-Link, wird die Downloadadresse in der Statuszeile aufgeführt. Dort erkennt man, ob dieser auf einen Microsoft-Server verweist.

Falls Jan Krohn hier noch mitliest, wäre das ein Tipp meinerseits, diese Links ebenfalls in seinem ISO-Downloader in der Version 3.20 zu implementieren.

Final Thoughs

So, nun sind viele Worte zum "umgefallenen Sack Reis in Kambodscha" verloren worden. Sorry für meinen Fehlalarm – aber wie so oft im Leben: So etwas kann immer noch als abschreckendes Beispiel dienen. Und ich hatte die Möglichkeit, die Haken und Ösen, die jede gut gemeinte Aktion bereithält, aufzuzeigen.

Und noch ein Seitenhieb: So was liest man ja üblicherweise auf den Seiten, die so ein Tool vorstellen, nicht. Von den Jungs von MajorGeeks, die ich in einem Kommentar informierte, kam die Rückmeldung "mein Kommentar sei Spam, man habe das Tool geprüft, es liefe". Jetzt weiß ich, was ich von MajorGeeks zu halten habe … geht mir bei einigen anderen US-Websites zwischenzeitlich ähnlich.

Ähnliche Artikel:
Aus für heidoc.net und das ISO Download-Tool?
Windows 10 Anniversary Update und die ISO-Downloads
Tipp: MS Windows und Office ISO-Download-Tool
Endlich: Windows 7 SP1-Setup-Image als legaler Download verfügbar