Software downloaden brengt risico’s met zich mee die de meeste gebruikers onderschatten. Een nep-officiële website, een aangepaste installatieprogramma of een simpel vooraf aangevinkt vakje kan al genoeg zijn om een computer in gevaar te brengen. De ingebouwde verificatiemechanismen van besturingssystemen en pakketbeheerders beperken deze risico’s, maar hun effectiviteit verschilt per gekozen downloadkanaal.
Digitale handtekening en pakketbeheerder: vergelijking van downloadkanalen
Niet alle downloadkanalen zijn even betrouwbaar. Sommige controleren automatisch of het bestand intact is, terwijl andere de gebruiker alleen laten met een installatieprogramma waarvan de herkomst niet kan worden bevestigd.
| Kanaal | Automatische controle van de hash | Handtekening van uitgever gecontroleerd | Risico op aangepaste software |
|---|---|---|---|
| winget (Windows Package Manager) | Ja | Ja | Laag |
| Microsoft Store | Ja (SmartScreen geïntegreerd) | Ja | Laag |
| Ninite | Ja | Ja | Laag |
| Officiële website van de uitgever | Nee (handmatig via hash) | Verschilt per uitgever | Gemiddeld |
| Website van derden / niet-officiële mirror | Nee | Nee | Hoog |
Uit een inventarisatie van 14 gratis softwareprogramma’s blijkt dat 11 van de 14 beschikbaar zijn via winget en dat 9 van de 11 programma’s in winget een door Windows herkende handtekening hebben. Zes zijn ook beschikbaar in de Microsoft Store. Deze cijfers bevestigen dat pakketbeheerders inmiddels de meeste gangbare tools aanbieden.
Als u een programma veilig wilt installeren, is de keuze van het downloadkanaal net zo belangrijk als de keuze van de software zelf.
Nep-officiële websites en besmette installatieprogramma’s: verschillen in risico tussen bronnen
Eind oktober 2022 toonde een Google-advertentie voor GIMP het adres gimp.org. De klik leidde door naar gilimp.org, een kloon die een installatieprogramma van 700 MB aanbood waarin Vidar, een wachtwoorddief, verborgen zat. Het verschil tussen de getoonde website en de echte website was slechts één letter.
Bij dit soort aanvallen wordt misbruik gemaakt van visueel vertrouwen. De domeinnaam lijkt op het origineel, het ontwerp van de website is gekopieerd en het aangeboden bestand heeft de verwachte naam. Controleer de domeinnaam letter voor letter voordat u iets downloadt via een zoekmachine.
Controleer de hash van het bestand voordat u het uitvoert
De meeste uitgevers van opensourcesoftware publiceren de hash (SHA-256 of MD5) van hun downloadbestanden. Van de 8 opensourceprogramma’s in de eerder genoemde inventarisatie publiceren er 7 hun hash op hun officiële pagina. Geen enkele commerciële uitgever doet hetzelfde op zijn openbare pagina’s.
Deze hash controleren duurt minder dan een minuut in Windows met de opdracht certutil -hashfile in de opdrachtprompt. Als de hash niet overeenkomt, is het bestand gewijzigd tussen de server van de uitgever en uw computer.
- Haal de gepubliceerde hash op van de officiële website van de uitgever (niet van een forum of website van derden)
- Open de opdrachtprompt en typ: certutil -hashfile pad_naar_het_bestand SHA256
- Vergelijk de twee tekenreeksen: ze moeten exact overeenkomen
- Als u twijfelt, controleer dan de hash op VirusTotal voordat u het bestand zelf uploadt. Zo voorkomt u dat u mogelijk gevoelige documenten deelt
SmartScreen-waarschuwingen en niet-ondertekende apps in Windows
Wanneer Windows de melding ‘Windows heeft uw pc beschermd’ weergeeft, geeft SmartScreen aan dat de app niet wordt herkend of geen handtekening heeft. Dit filter blokkeert standaard uitvoerbare bestanden zonder gevestigde reputatie.
SmartScreen uitschakelen om de installatie te forceren is een veelgemaakte fout. Een SmartScreen-waarschuwing betekent niet dat het bestand gevaarlijk is, maar dat het niet is gecontroleerd. Dat verschil is belangrijk: een legitiem programma dat weinig wordt gedownload, kan dezelfde waarschuwing oproepen als recente malware.
Wat te doen bij een waarschuwing
Voordat u op ‘Toch uitvoeren’ klikt, moet u twee controles uitvoeren:
- Controleer of het bestand daadwerkelijk afkomstig is van de officiële website van de uitgever (controleer de URL in de downloadgeschiedenis van uw browser)
- Rechtsklik op het bestand, open de eigenschappen en ga naar het tabblad ‘Digitale handtekeningen’: de naam van de uitgever moet overeenkomen met die van de verwachte ontwikkelaar
- Als er geen handtekening wordt weergegeven en de software geen opensourcesoftware is, breek de installatie dan af en zoek een alternatief in winget of de Microsoft Store
Cyber Resilience Act: wat de Europese verordening verandert voor software-updates
De veiligheid van software wordt niet alleen bepaald op het moment van downloaden. In software die niet wordt onderhouden, stapelen kwetsbaarheden zich op die aanvallers maanden na de installatie kunnen misbruiken.
De Europese verordening inzake cyberweerbaarheid (Cyber Resilience Act, Verordening (EU) 2024/2847) legt uitgevers van digitale producten verplichtingen op voor de opvolging ervan. De verplichtingen om kwetsbaarheden te melden gelden vanaf 11 september 2026. De belangrijkste bepalingen van de verordening, met beveiligingseisen voor de volledige levenscyclus van producten, treden op 11 december 2027 in werking.
Op opensourcesoftware is niet automatisch een uitzondering van toepassing. De verordening geldt ook voor bepaalde onafhankelijk verspreide software, met verplichtingen die verschillen naargelang de rol van de betrokken partij en de distributiewijze. Gratis software die door een commerciële stichting wordt onderhouden, kan binnen het toepassingsgebied vallen.
Dit regelgevingskader biedt een concreet selectiecriterium: geef de voorkeur aan uitgevers die een updateschema en een procedure voor het melden van kwetsbaarheden publiceren. Software waarvan de laatste update meer dan een jaar geleden verscheen en waarbij geen beveiligingsbeleid wordt vermeld, brengt na verloop van tijd steeds meer risico met zich mee.
Het downloadkanaal, de controle van de hash en het opvolgen van updates vormen drie aanvullende beveiligingslagen. Eén laag is niet genoeg. Het meest veelzeggende cijfer uit de inventarisatie is dat 11 van de 14 geteste programma’s via winget beschikbaar zijn en automatisch worden gecontroleerd. Voor de meeste gangbare installaties is dat de kortste weg naar een betrouwbare computer.
