VPN portalı quraşdırıcısı: paket, profil yoxsa yenidən qurma?

VPN portalının endirmə düyməsi dəqiq bir fayl qaytarır və həmin fayl iki tamamilə fərqli şey ola bilər: yanında konfiqurasiya profili daşıyan hazır satıcı quraşdırıcısı, ya da təşkilatın özünün tərtib etdiyi qurma. Səhifə hər iki halda eyni görünür, ona görə düymə sizə hansının olduğunu deyə bilməz. Bunun arxasında üç sual dayanır — icra edilə bilən faylı kim dərc edib, quraşdırma hansı konfiqurasiyanı yazır və növbəti müştəri buraxılışı gələndə bunu kim təmir edir. Birincisini artefaktın metadatasından, ikincisini paketin məzmunundan, üçüncüsünü isə yalnız yerləşdirməyə sahib komandadan cavablandırırsınız.

Brauzer qıfılı köçürülməni qoruyur, artefaktı yox.

Endirmə son nöqtəsi əslində nə qaytarır

Əksər portallar endirmə sorğusunu kiçik bir emalçıya verir; o, ya saxlanmış faylı axın edir, ya da faylı yerində yığır, sonra cavab çıxmazdan əvvəl fayl adı və məzmun növü təyin edir. Gələn şey konteynerdir: MSI, PKG, DEB və ya RPM, yaxud bunlardan birinin ətrafında özünü çıxaran sarğı. İçəridə müştəri ikili faylı durur və fayl adındakı heç nə həmin ikili faylın satıcıdan, yoxsa daxili qurma xəttindən gəldiyini etibarlı şəkildə demir. client-setup.exe adlı fayl mənşə faktını deyil, adlandırma qərarını qeyd edir.

Endirilmiş baytları satıcının dərc etdiyi yoxlama cəmi ilə müqayisə edin. Uyğunsuzluq pis niyyəti sübut etmir; faylın satıcı qurması olmadığını sübut edir və hərəkət etməyə dəyər fərq budur.

Profil müştəriyə harada daxil olur

Əvvəlcədən doldurulmuş parametrlər adətən quraşdırıcının hər istifadəçi və ya hər maşın üçün yoluna köçürdüyü ayrı fayl kimi gəlir: Windows-da JSON və ya XML profili, macOS-da konfiqurasiya profili, Linux-da /etc altında bir fraqment. Həmin fayldakı dəyərlər — şlüz host adları, etimad lövbərləri, bəzən qeydiyyat materialı — ilk işə salınmada müştərinin defoltlarına çevrilir. Buna görə bir endirmə kodla yanaşı sirlər də daşıya bilər.

Yüksəltmə yolunun profillə nə etdiyini soruşun. Qablaşdırmadan asılı olaraq o, müştəri yeniləməsindən sonra qala bilər, onunla üzərinə yazıla bilər və ya yeni versiyada sxem yoxlamasından keçməyə bilər.

İmza zəncirinin sübut etmədiyi şey

Kod imzalaması nəşriyyatçı kimliyini fayl heşinə bağlayır və Windows-da Authenticode zaman damğası imzanın onu yaradan sertifikatdan daha uzun yaşamasına imkan verir. Etibarlı nəticə iki suala cavab verir: bu baytları hansı nəşriyyatçı imzalayıb və sonradan onlar dəyişibmi. O, quraşdırıcının xidmətlərini, reyestr yazılarını və ya birlikdə gələn sürücüləri sadalamır və həmin nəşriyyatçıya burada etibar edilməli olub-olmadığını qərar vermir. Microsoft-un Authenticode sənədləri mexanizmi təsvir edir və bu dar əhatə barədə açıq danışır.

Portal autentifikasiyası üçüncü suala cavab verir: sessiya nəzərdə tutulan serverə çatıb. Üç fərqli yoxlama, üç fərqli uğursuzluq rejimi.

Artefaktı hər kəs işə salmazdan əvvəl yoxlayın

Faylı təcrid olunmuş maşında yerləşdirin və hər hansı şeyi icra etməzdən əvvəl metadatasını oxuyun. Bu əmrlər üç əsas platformada nəşriyyatçı sualına cavab verir.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Yalnız status sözünü deyil, imzalayanın subyektini oxuyun. Daxili sertifikat orqanının daxili qurmanı imzalaması gözləniləndir; satıcının buraxılışı olduğunu iddia edən paketdə eyni sertifikat gözlənilən deyil.

Yalnız profilli paket üçün arxivi açın və hər daxil edilmiş host adını və açarı hesaba alınmalı məlumat kimi qəbul edin. Əgər profildə təkrar istifadə oluna bilən bir şey varsa, portal yayımı onu yayım cədvəli olan ortaq sirrə çevirir.

Yayımdan əvvəl sahibliyi müəyyənləşdirmək

Sonuncu sualın arxasında heç bir əmr yoxdur. Satıcı yeni müştəri buraxdıqda artefaktı kimin yenilədiyini, daxili qurma üçün imza açarını kimin saxladığını və son nöqtə yerdəyişdikdə profilin necə dövr etdirildiyini öyrənin. Bu adları endirmə linkinin yanına yazın.

Heç kim bu cavaba sahib deyilsə, endirmə texniki xidmət müqaviləsi olmayan yayım kanalıdır və bu, hesabat verməyə dəyər tapıntıdır.