Is daardie VPN-toepassing die amptelike weergawe of ’n namaaksel?

Namaakprogrammatuur kopieer name, ikone en skermbeelde, en dit verbind goed genoeg om oortuigend te lyk. Dat die tonnel werk, is geen bewys van enigiets nie, want die vraag is wie die program geskryf het. Hanteer dit as ’n identiteitskontrole eerder as ’n sekuriteitsoudit, en neem elke verwysingswaarde uit ’n kanaal wat jy self gekies het, nie van die app se eie bladsy nie. Vyf kontroles volg, en elkeen kan misluk terwyl die ander slaag. Werk dit in volgorde deur, want ’n latere kontrole kan nie ’n vroeëre een red nie.

Kry jou verwysingswaardes uit ’n kanaal wat jy gekies het

Maak die projek se amptelike aflaai-instruksies oop, of jou organisasie se bestuurde sagtewarekanaal, voordat jy kyk wat geïnstalleer is. Skryf die verwagte winkeluitgewer, die pakket- of installeerder-identiteit en die ondersteunde platforms neer, en hou daardie nota waar jy dit by die volgende opdatering sal kry. ’n Soekresultaat of ’n geborgde plasing is nie daardie kanaal nie, en die betaalde plasing staan juis bo die organiese resultaat omdat mense op die eerste treffer klik. Merk die bladsy as gunsteling sodra jy dit geverifieer het, sodat die volgende aflaai by ’n besluit begin eerder as by ’n herhaalde soektog.

’n Spieël of ’n derdeparty-pakketbewaarplek is ook ’n kanaal, en dit is net so betroubaar soos sy operateur. Skryf neer watter een jy gebruik het, want daardie besonderheid is die een wat mense tussen opdaterings vergeet.

Vergelyk die geïnstalleerde uitgewer, nie die naam nie

Steun op die platform se eie handtekening- en toepassingsrekords waar dit bestaan, en lees dan die weergawe, die opdateringsroete en die toestemmings wat die app aangevra het. Om ’n geldige handtekening raak te sien is nie dieselfde as om die uitgewer te sien wat jy verwag het nie, want ’n sertifikaat getuig net dat ’n program deur wie dit ook al besit, onderteken is. ’n Handtekening van ’n maatskappy van wie jy nog nooit gehoor het nie, is steeds ’n geldige handtekening, en daarom moet die toets die party noem wat jy bedoel het. ’n Installeerder wat ekstra sagteware saamleep, ’n sertifikaat aanvra of ’n rekeningvenster oopmaak wat jy nie verwag het nie, kort ’n verduideliking uit die produk se eie dokumentasie.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Voer die kontrole uit wat by die platform pas, en vergelyk die uitset met die verwysingsnota wat jy in die eerste stap gemaak het. ’n Verskil in die uitgewerveld is meer insiggewend as enige mate van visuele ooreenkoms, want ’n ikoon kos niks om te kopieer nie. As die uitset ’n organisasie noem wat nêrens in die projek se dokumentasie voorkom nie, stop daar en moenie inteken nie.

Wat die geïnstalleerde handtekening werklik bewys

Wanneer ’n projek kontrolesomme, handtekeninge of vrystellingsleutels publiseer, werk die hele prosedure deur wat dit dokumenteer, insluitend die deel oor hoe om die verwysingsleutel te bekom. ’n Kontrolesom wat op dieselfde bladsy as die aflaai gedruk is, bewys net dat die lêer by daardie bladsy pas, wat ’n swakker bewering is as wat dit lyk. Die nuttige vraag is of die handtekening aan die identiteit koppel wat die projek dokumenteer, bereik deur ’n pad wat die namaaksel nie beheer nie. Dit is die stap wat mense verkort tot of die lêer hoegenaamd ’n handtekening het.

’n Sleutel wat by ’n sleutelbediener gehaal is en ’n vingerafdruk wat in ’n README gedruk is, is nie gelykwaardige bewyse nie. Besluit watter een jy werklik gebruik het voordat jy die lêer geverifieer noem.

Wanneer die app eg is maar die profiel nie

’n Kliënt en ’n bedienerprofiel kom van twee verskillende uitreikers, en om hulle te verwar is ’n aparte fout van om die verkeerde program te installeer. ’n OpenVPN-bou wat deur een projek onderhou word, sal gerus ’n konfigurasie laai wat deur ’n onverwante operateur geskryf is, en dit is normale gedrag eerder as bewys van kompromittering. Die omgekeerde geld ook: ’n wettige profiel maak nie ’n onamptelike kliënt betroubaar nie. Verifieer elke voorwerp teen sy eie bron, en laat nooit ’n werkende verbinding twee kontroles in een laat saamval nie.

Vra watter van die twee voorwerpe werklik in twyfel is voordat jy optree, want die oplossing verskil. ’n Slegte kliënt beteken herinstalleer, terwyl ’n slegte profiel beteken om een lêer te skrap en weer uit te reik.

Tree op by onsekerheid en ruim dan behoorlik op

As identiteit onseker bly, stop met die verskaffing van aanmeldgegewens en kry die sagteware onafhanklik deur die geverifieerde kanaal wat jy as gunsteling gemerk het. Volg die platform se leiding oor ongewenste toepassings eerder as om ’n gids te skrap en te hoop. Teken dan die uitgewer, weergawe en verifikasiemetode aan wat jy aanvaar het, sodat die volgende opdatering met ’n feit vergelyk kan word eerder as met geheue.

Na ’n wettige vervanging, gaan die ou profiele en toestemmings deur beide die kliënt en die bedryfstelsel na. Om die afgelaaide lêer te verwyder, laat die geïnstalleerde toepassing in plek, en ’n ou profiel kan die kliënt wat dit geskep het, oorleef terwyl dit steeds na ’n eindpunt wys wat niemand onderhou nie. WireGuard se amptelike installasiebladsy is ’n goeie voorbeeld van die soort verwysing wat die moeite werd is om te hou: dit is die ontwikkelaar se eie lys eerder as ’n spieël.