Bu VPN tətbiqi rəsmi buraxılışdır, yoxsa oxşar görünüş?

Oxşar görünüşlü proqram adları, ikonları və ekran görüntülərini kopyalayır və inandırıcı görünmək üçün kifayət qədər yaxşı qoşulur. Tunelin işləməsi heç nəyə sübut deyil, çünki sual ikili faylı kimin yazdığıdır. Buna təhlükəsizlik auditi deyil, şəxsiyyət yoxlaması kimi yanaşın və hər istinad dəyərini tətbiqin öz səhifəsindən deyil, özünüz seçdiyiniz kanaldan götürün. Beş yoxlama gəlir və hər biri digərləri keçərkən uğursuz ola bilər. Onları ardıcıllıqla yerinə yetirin, çünki sonrakı yoxlama əvvəlkini xilas edə bilməz.

İstinad dəyərlərinizi özünüz seçdiyiniz kanaldan alın

Quraşdırılmış olana baxmazdan əvvəl layihənin rəsmi endirmə təlimatlarını və ya təşkilatınızın idarə olunan proqram kanalını açın. Gözlənilən mağaza nəşriyyatçısını, paket və ya quraşdırıcı kimliyini və dəstəklənən platformaları qeyd edin, sonra bu qeydi növbəti yeniləmədə tapa biləcəyiniz yerdə saxlayın. Axtarış nəticəsi və ya sponsorlu yerləşdirmə o kanal deyil və ödənişli yerləşdirmə üzvi nəticənin üstündə durur, çünki insanlar birinci uyğunluğa klikləyirlər. Səhifəni yoxladıqdan sonra əlfəcinləyin ki, növbəti endirmə təkrar axtarışdan deyil, qərardan başlasın.

Güzgü və ya üçüncü tərəf paket deposu da bir kanaldır və yalnız operatoru qədər etibarlıdır. Hansını istifadə etdiyinizi yazın, çünki insanların yeniləmələr arasında unutduğu məhz bu detaldır.

Quraşdırılmış nəşriyyatçını müqayisə edin, adı yox

Mövcud olduqda platformanın öz imza və tətbiq qeydlərinə güvənin, sonra versiyanı, yeniləmə yolunu və tətbiqin istədiyi icazələri oxuyun. Etibarlı imza görmək gözlədiyiniz nəşriyyatçını görməklə eyni şey deyil, çünki sertifikat yalnız ikili faylın onu daşıyan tərəfindən imzalandığını təsdiqləyir. Adını heç eşitmədiyiniz şirkətin imzası yenə etibarlı imzadır, buna görə yoxlama nəzərdə tutduğunuz tərəfi adlandırmalıdır. Əlavə proqram gətirən, gözləmədiyiniz sertifikat istəyən və ya hesab pəncərəsi açan quraşdırıcı məhsulun öz sənədlərindən izahat tələb edir.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Platformaya uyğun yoxlamanı icra edin və nəticəsini birinci addımda yazdığınız istinad qeydi ilə müqayisə edin. Nəşriyyatçı sahəsindəki uyğunsuzluq istənilən vizual oxşarlıqdan daha məlumatlıdır, çünki ikonu kopyalamaq heç nəyə başa gəlmir. Əgər nəticə layihənin sənədlərində heç yerdə görünməyən bir təşkilat adlandırırsa, orada dayanın və daxil olmayın.

Quraşdırılmış imza əslində nəyi sübut edir

Layihə yoxlama məbləğləri, imzalar və ya buraxılış açarları dərc edəndə, sənədləşdirdiyi bütün proseduru, o cümlədən istinad açarının əldə edilməsi hissəsini yerinə yetirin. Endirmə ilə eyni səhifədə çap olunmuş yoxlama məbləği yalnız faylın həmin səhifəyə uyğun olduğunu sübut edir ki, bu göründüyündən zəif iddiadır. Faydalı sual imzanın layihənin sənədləşdirdiyi şəxsiyyətə, oxşar görünüşün idarə etmədiyi bir yol vasitəsilə zəncirlənməsidir. İnsanların faylda ümumiyyətlə imza olub-olmamasına qısaltdığı addım budur.

Açar serverindən götürülmüş açar və README-də çap olunmuş barmaq izi ekvivalent sübut deyil. Faylı yoxlanılmış adlandırmazdan əvvəl hansını həqiqətən istifadə etdiyinizə qərar verin.

Tətbiq həqiqi, profil isə deyil olduqda

Müştəri və server profili iki fərqli verəndən gəlir və onları qarışdırmaq yanlış ikili faylı quraşdırmaqdan ayrı bir uğursuzluqdur. Bir layihənin saxladığı OpenVPN buraxılışı əlaqəsiz operatorun yazdığı konfiqurasiyanı rahatlıqla yükləyəcək və bu, kompromisə sübut deyil, normal davranışdır. Əksi də doğrudur: qanuni profil qeyri-rəsmi müştərini etibarlı etmir. Hər obyekti öz mənbəyi ilə yoxlayın və işləyən bağlantının iki yoxlamanı birə endirməsinə heç vaxt imkan verməyin.

Fəaliyyətə keçməzdən əvvəl iki obyektdən hansının həqiqətən şübhə altında olduğunu soruşun, çünki çarə fərqlidir. Pis müştəri yenidən quraşdırmaq deməkdir, pis profil isə bir faylı silib yenidən vermək deməkdir.

Şübhə olduqda hərəkət edin, sonra düzgün təmizləyin

Şəxsiyyət qeyri-müəyyən qalırsa, etimad məlumatlarını verməyi dayandırın və proqramı əlfəcinlədiyiniz yoxlanılmış kanal vasitəsilə müstəqil əldə edin. Qovluğu silib ümid etmək əvəzinə platformanın istənilməyən tətbiqlər barədə təlimatına əməl edin. Sonra qəbul etdiyiniz nəşriyyatçını, versiyanı və yoxlama üsulunu qeyd edin ki, növbəti yeniləmə yaddaşla deyil, faktla müqayisə olunsun.

Qanuni dəyişdirmədən sonra köhnə profilləri və icazə verilmələrini həm müştəridə, həm də əməliyyat sistemində nəzərdən keçirin. Endirilmiş faylı silmək quraşdırılmış tətbiqi yerində qoyur və köhnə profil onu yaradan müştəridən uzun yaşaya bilər, halbuki hələ də heç kimin saxlamadığı son nöqtəyə işarə edir. WireGuard-ın rəsmi quraşdırma səhifəsi saxlanmağa dəyər istinad növünə yaxşı nümunədir: bu, güzgü deyil, tərtibatçının öz siyahısıdır.