{"id":263989,"date":"2022-04-02T12:52:32","date_gmt":"2022-04-02T10:52:32","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=263989"},"modified":"2022-04-03T07:58:07","modified_gmt":"2022-04-03T05:58:07","slug":"microsoft-spendiert-update-downloads-endlich-https","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/04\/02\/microsoft-spendiert-update-downloads-endlich-https\/","title":{"rendered":"Microsoft spendiert Update-Downloads endlich https"},"content":{"rendered":"

\"Update\"[English]Es geschehen noch Zeichen und Wunder – zum 1. April 2022 (kein April-Scherz) scheint Microsoft sein Download-Angebot f\u00fcr Updates endlich so angepasst zu haben, dass diese durchg\u00e4ngig \u00fcber das https-Protokoll durchgef\u00fchrt werden. Hier eine kurze \u00dcbersicht \u00fcber den Sachverhalt.<\/p>\n

<\/p>\n

Das http-Update-Download Chaos<\/h2>\n

\"\"Seit Jahren wird von Google & Co. propagiert, dass die Kommunikation mit Webseiten doch bitte \u00fcber das https-Protokoll erfolgen m\u00f6ge, damit die Integrit\u00e4t der Kommunikation \u00fcber die Verschl\u00fcsselung gew\u00e4hrleistet und die Server \u00fcber SSL-Zertifikate ausgewiesen wird. Bei Microsoft war es aber seit vielen Jahren so, dass Downloads von Update-Paketen \u00fcber das unverschl\u00fcsselte http-Protokoll abgerufen – oder zumindest zum Download angesto\u00dfen – werden mussten. Ich verlinke mal auf diese Diskussion<\/a> hier im Blog:<\/p>\n

Blog-Leser Bolko: Microsoft setzt beim Update-Catalog auf HTTP statt HTTPS und da meckert dann Chromum und weigert sich.
\nMit Firefox kann man hingegen \"Weiter mit HTTP\" anklicken.<\/p>\n

Da sollte Microsoft mal nachbessern und auf HTTPS-Downloads umstellen.<\/p>\n

G\u00fcnter Born: Das ist schon vor Jahren von Stefan Kanthak kritisiert worden \u2013 Microsoft kennt das Problem. Da laufen teilweise wilde Umleitungen \u2013 aber nicht immer.<\/p><\/blockquote>\n

Und im Diskussionsbereich des Blogs gab es zum 29. September 2021 die denkw\u00fcrdige Diskussion:<\/p>\n

Anonymous: der neue MS Edge (v94) blockiert jetzt MSU Downloads vom *https:\/\/www.catalog.update.microsoft.com\/
\nda die Downloadslinks nur \"http\" sind *LOL*<\/p>\n

G. Born: Dann hat es Microsoft also endlich erwischt. Stefan Kanthak haut mir seit Jahren die http-Links, die ich aus den Supportbeitr\u00e4gen f\u00fcr Updates herauskopiere, um die Ohren.<\/p><\/blockquote>\n

Lange Lese, kurzer Sinn: Es w\u00e4re l\u00e4ngst an der Zeit gewesen, dass Microsoft den Download seiner Update-Pakete durchg\u00e4ngig auf das https-Protokoll umstellt, um Konsistenz und Sicherheit zu erh\u00f6hen.<\/p>\n

Bez\u00fcglich Sicherheit: Ja, die Update-Pakete sind mit einem SHA-Schl\u00fcssel und einer digitalen Signatur versehen, und so vor Manipulation gesch\u00fctzt. Inzwischen machen die meisten Browser aber bei http-Adressen Probleme und die obigen Kommentare zeigen das auf. Auf Twitter sind mir auch die nachfolgenden zwei Fundsplitter mit dem gleichen Tenor auf die F\u00fc\u00dfe gefallen. Selbst Martin Geu\u00df f\u00fchlte sich im Januar 2022 bem\u00fc\u00dfigt, WindowsUpdate auf Englisch \u00fcber dieses Problem zu informieren.<\/p><\/blockquote>\n

\"MS<\/a><\/p>\n

\"MS<\/a><\/p>\n

Es wurde wohl umgestellt<\/h2>\n

Am heutigen Samstag-Morgen (2.4.2022) w\u00e4re mich fast der Kaffee aus dem Gesicht gefallen, als ich bei den Kollegen von deskmodder.de auf diese Meldung<\/a> und nachfolgenden Tweet<\/a> gesto\u00dfen bin. Ein Blog-Leser hat im Blog-Beitrag Probleme mit dem Microsoft Update Catalog<\/a> ebenfalls auf diese Meldung hingewiesen<\/a> (danke daf\u00fcr).<\/p>\n

\"Microsoft's<\/a><\/p>\n

Zum Sachverhalt: Der ist ziemlich schn\u00f6de – man sollte seit dem 1. April 2022 alle Update-Downloads von den Update-Servern und aus dem Microsoft Update Catalog<\/a> durchg\u00e4ngig \u00fcber das https-Protokoll erhalten. F\u00fcr Downloads aus dem Microsoft Update Catalog gelten dann URLs mit dem Schema:<\/p>\n

*https:\/\/catalog.s.download.windowsupdate.com\/c\/msdownload\/update<\/p>\n

statt der alten Nomenklatur:<\/p>\n

*http:\/\/download.windowsupdate.com\/d\/msdownload\/update\/<\/p>\n

Man hat also nicht nur das https-Protokoll erzwungen, sondern leitet den Download auch von einer Unterdomain catalog.s <\/em>ein, wobei das s<\/em> in der URL vermutlich f\u00fcr secure steht. F\u00fcr die Downloads aus dem Microsoft Update Catalog<\/a> \u00e4ndert sich nichts – lediglich direkte Download-Links, die im Internet auf die Microsoft-Server verweisen, m\u00fcssen wohl angepasst werden – bzw. d\u00fcrften von Microsoft mit einem Redirect versehen werden. Die Download-Probleme mit diversen Browsern auf Grund der http-Protokoll-Problematik d\u00fcrften damit auch behoben sein. Ihr k\u00f6nnt ja eine R\u00fcckmeldung hinterlassen, wenn es noch Probleme gibt oder ich in obigem Exzerpt was \u00fcbersehen habe. Thumbs-up in den Nordosten an die Kollegen von deskmodder.de, die das aufgegriffen haben (und an den anonymen Blog-Leser f\u00fcr den Hinweis)\u00a0 – ich w\u00e4re sonst dumm gestorben.<\/p>\n

Das sollte die Sicherheit der Downloads bei der \u00dcbertragung per Internet gegen Manipulationen erh\u00f6hen (wenn auch die Update-Pakete selbst ja mit Hashes versehen sind).<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Es geschehen noch Zeichen und Wunder – zum 1. April 2022 (kein April-Scherz) scheint Microsoft sein Download-Angebot f\u00fcr Updates endlich so angepasst zu haben, dass diese durchg\u00e4ngig \u00fcber das https-Protokoll durchgef\u00fchrt werden. Hier eine kurze \u00dcbersicht \u00fcber den Sachverhalt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,185],"tags":[4328,4315],"class_list":["post-263989","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-update","tag-sicherheit","tag-update"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/263989","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=263989"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/263989\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=263989"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=263989"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=263989"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}