BIOS-Update 5820T_2.12.1.exe stimmt nicht mit den angegebenen Hashes überein

Auf der entsprechenden (deutschen) Webseite in den Details für das BIOS-Update steht:

To ensure the integrity of your download, please verify the checksum value.
MD5: afb41f451515532634669cf6e44438bf
SHA1: 9145a2acbb26b18e164cf2207c7817063966ba4d
SHA-256: 6ce8d18512ea816435ff3d318058074154f8292076478664c4a5955c66431362

Nun, ich habe verifiziert und ich habe auch nochmal runtergeladen und den zweiten Download mit dem ersten verglichen (identisch, und die Hashes entsprechend auch).

Nur leider bekomme ich bis auf MD5 komplett andere Werte.

$ (md5sum 5820T_2.12.1.exe; sha1sum 5820T_2.12.1.exe; sha256sum 5820T_2.12.1.exe)|tee 5820T_2.12.1.exe.hashes
afb41f451515532634669cf6e44438bf  5820T_2.12.1.exe
e2ba690fa4003fb9b9134f0dfe53b962b751627f  5820T_2.12.1.exe
86a0e50dceb9cf293cc50811d8a5727874f072d1a9e15d773ef6a80827e1b1d0  5820T_2.12.1.exe

Das ist extrem verdächtig, denn MD5 ist seit 2005 geknackt und seit ca. 2008 gibt es bereits praktische Angriffe (chosen prefix + preimaging).

$ osslsigncode verify 5820T_2.12.1.exe
Current PE checksum   : 01512C62
Calculated PE checksum: 01512C62

Message digest algorithm  : SHA256
Current message digest    : B0E42B3205DF5A5BD98CBC9EDF3782A970CCBDCFEF9A3AB75B8373F67722021D
Calculated message digest : B0E42B3205DF5A5BD98CBC9EDF3782A970CCBDCFEF9A3AB75B8373F67722021D

Signature verification: ok

Number of signers: 1
	Signer #0:
		Subject: /C=US/ST=Texas/L=Round Rock/O=Dell Inc/CN=Dell Inc
		Issuer : /C=US/O=Entrust, Inc./OU=See www.entrust.net/legal-terms/OU=(c) 2015 Entrust, Inc. - for authorized use only/CN=Entrust Code Signing CA - OVCS1
		Serial : 027BCF14EC11E754A7C90A31C5679199

Number of certificates: 2
	Cert #0:
		Subject: /C=US/ST=Texas/L=Round Rock/O=Dell Inc/CN=Dell Inc
		Issuer : /C=US/O=Entrust, Inc./OU=See www.entrust.net/legal-terms/OU=(c) 2015 Entrust, Inc. - for authorized use only/CN=Entrust Code Signing CA - OVCS1
		Serial : 027BCF14EC11E754A7C90A31C5679199
	------------------
	Cert #1:
		Subject: /C=US/O=Entrust, Inc./OU=See www.entrust.net/legal-terms/OU=(c) 2015 Entrust, Inc. - for authorized use only/CN=Entrust Code Signing CA - OVCS1
		Issuer : /C=US/O=Entrust, Inc./OU=See www.entrust.net/legal-terms/OU=(c) 2009 Entrust, Inc. - for authorized use only/CN=Entrust Root Certification Authority - G2
		Serial : 43C10B1C0000000051D373DA

Succeeded

Zur Gegenprobe habe ich den Spaß nochmal auf einem Windows 10 (21H2) durchgespielt und auch dort schien alles in Ordnung. Signiert ist es also offenbar von Dell ...

$ signtool verify /v 5820T_2.12.1.exe

Verifying: 5820T_2.12.1.exe

Signature Index: 0 (Primary Signature)
Hash of file (sha256): B0E42B3205DF5A5BD98CBC9EDF3782A970CCBDCFEF9A3AB75B8373F67722021D

Signing Certificate Chain:
    Issued to: Entrust Root Certification Authority - G2
    Issued by: Entrust Root Certification Authority - G2
    Expires:   Sat Dec 07 18:55:54 2030
    SHA1 hash: 8CF427FD790C3AD166068DE81E57EFBB932272D4

        Issued to: Entrust Code Signing CA - OVCS1
        Issued by: Entrust Root Certification Authority - G2
        Expires:   Sun Nov 10 15:16:05 2030
        SHA1 hash: 995B8F2EA0FB7C1AC9CB2F7006033145253E9772

            Issued to: Dell Inc
            Issued by: Entrust Code Signing CA - OVCS1
            Expires:   Sun Feb 27 22:05:21 2022
            SHA1 hash: DFB8E8DCFAF622E4A9A2AEF238CA7A297D938CE0

The signature is timestamped: Sat Nov 06 03:00:51 2021
Timestamp Verified by:
    Issued to: Entrust.net Certification Authority (2048)
    Issued by: Entrust.net Certification Authority (2048)
    Expires:   Tue Jul 24 15:15:12 2029
    SHA1 hash: 503006091D97D4F5AE39F7CBE7927D7D652D3431

        Issued to: Entrust Timestamping CA - TS1
        Issued by: Entrust.net Certification Authority (2048)
        Expires:   Fri Jun 22 20:32:54 2029
        SHA1 hash: 58C71A4AE63E768CA510C54EB7A06E30EF8E42E9

            Issued to: Entrust Timestamp Authority - TSA1
            Issued by: Entrust Timestamping CA - TS1
            Expires:   Sun Dec 29 17:29:23 2030
            SHA1 hash: 94A59549D6E7CE926ED8D2625E1C2ADEBA04C37F

SignTool Error: A certificate chain processed, but terminated in a root
        certificate which is not trusted by the trust provider.

Number of files successfully Verified: 0
Number of warnings: 0
Number of errors: 1

Was genau liegt denn da nun im Argen? Bei derlei Software möchte man ja ungern Russisch Roulette spielen