Güzgüdən VPN quraşdırıcısı? Əvvəlcə nəşriyyatçını yoxlayın

Tunel işlədi, interfeys açıldı və sessiya bir həftə sabit qaldı. Bütün bunlar quraşdırıcını kimin qurduğunu demir. VPN müştərisi marşrutları yenidən yazmaq və etimad məlumatlarını oxumaq üçün kifayət qədər imtiyazla işləyir, buna görə nəşriyyatçı təhdid modelinin bir hissəsidir, dipnot deyil.

Yoxlamaları ardıcıllıqla edin və ilk uğursuz olanında dayanın. Onlar ucuzdur və hər biri fərqli bir boşluğu bağlayır.

Birinci addım: Layihənin adlandırdığı kanaldan yükləyin

Hər layihə buraxılışlarının harada olduğunu sənədləşdirir və həmin səhifə istinad nöqtəsidir. İcma qurmaları, mağaza siyahıları və satıcı portalları hamısı qanuni kanallardır. Hər biri yalnız layihə özü ona işarə etdikdə qanunidir. Test budur və bu, rəsmi görünməklə eyni şey deyil.

Layihənin adını daşıyan fayl heç nə sübut etmir. Quraşdırıcının adını dəyişmək bir saniyəlik əməliyyatdır və axtarış nəticəsinin ilk göstərdiyi şey addır.

İkinci addım: İmzanı tanınmış kimliklə yoxlayın

İmza yoxlaması dar bir suala yaxşı cavab verir. O, müəyyən bir kimliyin bu binarı imzaladığını və binarnın o vaxtdan bəri dəyişmədiyini bildirir. Bir suala cavab verir, digərini rədd edir. Həmin kimliyin etibar etmək istədiyiniz kimlik olub-olmadığını deyə bilməz.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Kimliyi oxuyun, status sözünü yox. Etibarlı sertifikatı olan əlaqəsiz bir tərtibatçı etibarlı imza yaradır. Tanınmış nəşriyyatçı bildirən əməliyyat sistemi sizə yalnız kiminsə sertifikat üçün pul ödədiyini demiş olur.

Üçüncü addım: Heşi müstəqil mənbə ilə müqayisə edin

Yoxlama məbləği istinad dəyəri ilə uyğunluğu sübut edir. Əgər istinad yükləmənin yanında gəlibsə, hər ikisi birlikdə səhv ola bilər və müqayisə yenə də keçər. Əksər dərsliklərdə uğursuzluq rejimi budur. Heş təsvir etdiyi faylla eyni səhifədə dayanır.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Layihə imzalanmış yoxlama məbləğləri və ya imzalanmış buraxılış manifesti dərc edirsə, imzanı hər faylın ayrılıqda deyil, siyahının üzərində yoxlayın. Beləliklə bir etibarlı istinad bütün buraxılışı əhatə edir.

Quraşdırmadan sonra: Yeniləmə yolunu saxlayın

Dəstəklənən kanal quraşdırma bitdikdən sonra da əhəmiyyətli olaraq qalır. Yenidən paketlənmiş qurmalar öz yeniləyicisini daşıya bilər və həmin yeniləyici gələn ay nəyin işləyəcəyini müəyyən edir. Heç vaxt yenilənməyən qurma daha təhlükəsiz deyil. Sadəcə daha köhnədir.

Müştərinin necə yenilənməli olduğunu və bu addımı idarəetmə sisteminin idarə edib-etmədiyini qeyd edin. Cavab forumdan əl ilə yükləmədirsə, təchizat zənciri sualı heç vaxt həqiqətən bağlanmayıb.

İki mənşə, bir deyil

Müştəri tərtibatçısı və profil təchizatçısı ayrı tərəflərdir. Rəsmi müştərinin əlaqəsiz operatorun profilini idxal etməsi normal haldır və profil öz yoxlamasına layiqdir: onu kim verib, necə çatdırılıb və server sertifikatı gözlədiyiniz ada uyğun gəlirmi.

Hər iki mənşəyi qeydlərinizdə müəyyən edilə bilən saxlayın. Müştəri dəyişdirildiyi və ya cihaz ehtiyat nüsxədən bərpa edildiyi an, bu iki sətir naməlum bir qurmanın və ya naməlum bir profilin qalan məlumatlarla birlikdə qayıtmasının qarşısını alır.