डिजिटल सिग्नेचर क्या बताता है
जानी-मानी कंपनियों के ज़्यादातर Windows इंस्टॉलर पर Authenticode सिग्नेचर होता है: एक क्रिप्टोग्राफ़िक मुहर, जिसे डेवलपर कोड-साइनिंग सर्टिफ़िकेट से लगाता है। यह दो सवालों का जवाब देता है। यह फ़ाइल किसने जारी की? और साइन होने के बाद क्या इसमें कोई बदलाव हुआ? साइन करने के बाद एक बाइट भी बदले, तो Windows सिग्नेचर को वैध नहीं बताता।
सिग्नेचर का मतलब यह नहीं कि सॉफ़्टवेयर सुरक्षित या काम का है — जिस कंपनी के पास सर्टिफ़िकेट है, वह कोई भी प्रोग्राम साइन कर सकती है। सिग्नेचर आपको एक नाम देता है: आप देख सकते हैं कि फ़ाइल के पीछे कौन-सी कंपनी है और वह नाम उसी डेवलपर का है या नहीं, जिसकी आप उम्मीद कर रहे थे।
File Explorer में सिग्नेचर जाँचें
- डाउनलोड किए गए इंस्टॉलर (.exe या .msi) पर राइट-क्लिक करें और Properties चुनें।
- Digital Signatures टैब खोलें। अगर यह टैब नहीं है, तो फ़ाइल साइन नहीं की गई है (नीचे "Unsigned का मतलब" देखें)।
- Signature list में Name of signer पढ़ें। यह डेवलपर या उसकी कंपनी का नाम होना चाहिए — वही नाम जो डेवलपर की आधिकारिक वेबसाइट पर दिखता है।
- सिग्नेचर चुनकर Details पर क्लिक करें। सबसे ऊपर Windows को "This digital signature is OK." लिखना चाहिए।
- चाहें तो View Certificate पर क्लिक करके देखें कि सर्टिफ़िकेट किसने जारी किया और वह कब तक वैध है।
Timestamp कॉलम भी देखें। टाइमस्टैम्प वाला सिग्नेचर सर्टिफ़िकेट की मियाद ख़त्म होने के बाद भी वैध रहता है, क्योंकि टाइमस्टैम्प दिखाता है कि फ़ाइल तब साइन हुई थी जब सर्टिफ़िकेट वैध था।
यह तरीका ड्राइवरों पर भी काम करता है। जैसे India Hub के ePass2003 टोकन middleware में साइन करने वाले के रूप में FEITIAN Technologies — यानी टोकन बनाने वाली कंपनी — का नाम दिखना चाहिए।
PowerShell से जाँचें
जल्दी जाँच के लिए डाउनलोड फ़ोल्डर में PowerShell खोलें और यह चलाएँ:
Get-AuthenticodeSignature .\setup.exe | Format-List Status, StatusMessage, SignerCertificate
सबसे ज़रूरी लाइन Status है:
- Valid — फ़ाइल साइन है, साइन के बाद बदली नहीं, और सर्टिफ़िकेट ऐसे root तक जुड़ता है जिस पर Windows भरोसा करता है।
- NotSigned — फ़ाइल पर कोई सिग्नेचर नहीं है।
- HashMismatch — साइन होने के बाद फ़ाइल बदली गई है। इसे न चलाएँ।
- NotTrusted या UnknownError — सिग्नेचर है, लेकिन Windows भरोसेमंद सर्टिफ़िकेट चेन की पुष्टि नहीं कर पाया (नीचे देखें)।
SignerCertificate लाइन में subject दिखता है, जिसमें साइन करने वाले का नाम होता है।
"Unsigned" का मतलब
अनसाइन्ड इंस्टॉलर अपने-आप ख़तरनाक नहीं होता। कोड-साइनिंग सर्टिफ़िकेट के पैसे लगते हैं और उसे रिन्यू करना पड़ता है, इसलिए कुछ छोटे ओपन-सोर्स प्रोजेक्ट और अकेले डेवलपर बिना सिग्नेचर की फ़ाइलें देते हैं। ऐसे में User Account Control में "Unknown publisher" दिखता है, और Microsoft Defender SmartScreen चेतावनी दे सकता है, क्योंकि जिस फ़ाइल की कोई पहचान (reputation) नहीं बनी, उसे ज़्यादा जोखिम वाला माना जाता है।
अनसाइन्ड फ़ाइल के लिए SHA-256 हैश ही मुख्य जाँच है: अगर डेवलपर हैश प्रकाशित करता है, तो उसे अपनी फ़ाइल से मिलाएँ।
असली ख़तरे का संकेत यह है: कोई फ़ाइल किसी बड़ी कंपनी की होने का दावा करे लेकिन अनसाइन्ड हो, या किसी अनजान नाम से साइन हो। बड़ी सॉफ़्टवेयर कंपनियाँ अपने इंस्टॉलर साइन करती हैं; किसी अनजान व्यक्ति के नाम से साइन किया "ब्राउज़र सेटअप" असली ब्राउज़र नहीं है।
Untrusted chain का मतलब मैलवेयर नहीं
कभी-कभी सिग्नेचर होता है, लेकिन सर्टिफ़िकेट विंडो में "A certificate chain processed, but terminated in a root certificate which is not trusted" जैसा मैसेज आता है, या PowerShell NotTrusted या UnknownError दिखाता है। इसका मतलब है कि आपका PC साइन करने वाले के सर्टिफ़िकेट को किसी भरोसेमंद root authority से नहीं जोड़ पाया। आम वजहें:
- PC लंबे समय से ऑफ़लाइन है या Windows सर्टिफ़िकेट अपडेट ब्लॉक हैं, इसलिए नया root सर्टिफ़िकेट मौजूद नहीं है।
- सिस्टम की तारीख और समय ग़लत है, इसलिए सर्टिफ़िकेट अभी तक वैध नहीं या एक्सपायर दिखते हैं।
- सर्टिफ़िकेट ऐसी authority का है जिस पर Windows डिफ़ॉल्ट रूप से भरोसा नहीं करता।
इनमें से कोई भी बात फ़ाइल के ख़तरनाक होने का सबूत नहीं है। तारीख और समय ठीक करें, इंटरनेट से जुड़ें और फिर जाँचें। मैसेज फिर भी रहे, तो इंस्टॉल करने से पहले फ़ाइल का हैश डेवलपर की आधिकारिक वैल्यू से मिलाएँ। उल्टा भी सच है: वैध सिग्नेचर यह साबित नहीं करता कि फ़ाइल नुकसानदेह नहीं है। वह सिर्फ़ बताता है कि फ़ाइल किसने साइन की।
हर इंस्टॉल से पहले छोटी-सी आदत
- सिर्फ़ डेवलपर की अपनी वेबसाइट से डाउनलोड करें।
- देखें कि Name of signer डेवलपर से मेल खाता है।
- फ़ाइल अनसाइन्ड हो, तो उसका SHA-256 हैश डेवलपर की प्रकाशित वैल्यू से मिलाएँ।
- इंस्टॉलर की हर स्क्रीन पढ़ें और जो ऑफ़र आपने नहीं माँगा, उसे मना करें।
और टिप्स: नकली डाउनलोड साइट और बंडल्ड इंस्टॉलर कैसे पहचानें।