Гэтая праграма VPN — афіцыйная зборка ці падробка?

Падробнае праграмнае забеспячэнне капіруе назвы, значкі і здымкі экрана, і яно далучаецца дастаткова добра, каб выглядаць пераканаўча. Праца тунэля не з’яўляецца доказам чаго-небудзь, бо пытанне ў тым, хто напісаў бінарны файл. Разглядайце гэта як праверку асобы, а не як аўдыт бяспекі, і бярыце кожнае эталоннае значэнне з канала, які выбралі вы, а не са старонкі самой праграмы. Далей ідуць пяць праверкаў, і кожная можа праваліцца, пакуль іншыя праходзяць. Выконвайце іх па парадку, бо позняя праверка не можа выратаваць папярэднюю.

Вазьміце эталонныя значэнні з канала, які выбралі вы

Адкрыйце афіцыйныя інструкцыі праекта па спампоўцы або кіраваны канал праграмнага забеспячэння вашай арганізацыі, перш чым глядзець, што ўсталявана. Запішыце чаканага выдаўца ў краме, ідэнтычнасць пакета або ўсталявальніка і падтрымліваныя платформы, затым трымайце гэтую нататку там, дзе знойдзеце яе пры наступным абнаўленні. Вынік пошуку або платнае размяшчэнне — гэта не той канал, і платнае размяшчэнне стаіць над арганічным вынікам менавіта таму, што людзі націскаюць першае супадзенне. Дадайце старонку ў закладкі пасля праверкі, каб наступная спампоўка пачыналася з рашэння, а не з паўторнага пошуку.

Люстэрка або старонні рэпазітар пакетаў таксама з’яўляецца каналам, і ён надзейны настолькі, наколькі надзейны яго аператар. Запішыце, які з іх вы выкарысталі, бо менавіта гэтую дэталь людзі забываюць паміж абнаўленнямі.

Параўноўвайце ўсталяванага выдаўца, а не назву

Абапірайцеся на ўласныя запісы платформы пра подпісы і праграмы, дзе яны ёсць, затым прачытайце версію, шлях абнаўлення і дазволы, якія запытала праграма. Заўважыць сапраўдны подпіс — не тое ж самае, што заўважыць выдаўца, якога вы чакалі, бо сертыфікат сведчыць толькі пра тое, што бінарны файл падпісаны тым, хто яго трымае. Подпіс ад кампаніі, пра якую вы ніколі не чулі, усё яшчэ сапраўдны подпіс, таму праверка павінна назваць менавіта тую асобу, якую вы мелі на ўвазе. Усталявальнік, які цягне дадатковае праграмнае забеспячэнне, запытвае сертыфікат або адкрывае акно ўліковага запісу, якога вы не чакалі, патрабуе тлумачэння з уласнай дакументацыі прадукту.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Выканайце праверку, якая адпавядае платформе, і параўнайце яе вынік з эталоннай нататкай, зробленай на першым кроку. Няўзгодненасць у полі выдаўца больш інфарматыўная, чым любая візуальная падобнасць, бо значок нічога не каштуе скапіраваць. Калі вынік называе арганізацыю, якой няма нідзе ў дакументацыі праекта, спыніцеся і не ўваходзьце.

Што насамрэч даказвае ўсталяваны подпіс

Калі праект публікуе кантрольныя сумы, подпісы або ключы выпуску, прайдзіце ўсю працэдуру, якую ён апісвае, уключаючы частку пра атрыманне эталоннага ключа. Кантрольная сума, надрукаваная на той жа старонцы, што і спампоўка, даказвае толькі тое, што файл адпавядае гэтай старонцы, а гэта больш слабае сцвярджэнне, чым здаецца. Карыснае пытанне: ці ўзыходзіць подпіс да асобы, якую дакументуе праект, праз шлях, які падробка не кантралюе. Менавіта гэты крок людзі скарачаюць да пытання, ці ёсць у файла подпіс наогул.

Ключ, атрыманы з сервера ключоў, і адбітак, надрукаваны ў README, не з’яўляюцца раўназначнымі доказамі. Вызначце, які з іх вы насамрэч выкарысталі, перш чым называць файл правераным.

Калі праграма сапраўдная, а профіль не

Кліент і профіль сервера паходзяць ад двух розных эмітэнтаў, і зблытаць іх — гэта асобная памылка ад усталявання няправільнага бінарнага файла. Зборка OpenVPN, якую падтрымлівае адзін праект, спакойна загрузіць канфігурацыю, напісаную незвязаным аператарам, і гэта нармальныя паводзіны, а не доказ узлому. Спрадвечнае таксама: легітымны профіль не робіць неафіцыйны кліент надзейным. Правярайце кожны аб’ект супраць яго ўласнай крыніцы і ніколі не дазваляйце працоўнаму злучэнню звесці дзве праверкі ў адну.

Спытайце, які з двух аб’ектаў насамрэч пад сумневам, перш чым дзейнічаць, бо сродак розны. Дрэнны кліент азначае пераўсталяванне, а дрэнны профіль — выдаленне аднаго файла і яго паўторную выдачу.

Дзейнічайце пры няўпэўненасці, затым правільна прыбярыце

Калі асоба застаецца нявызначанай, спыніце падаваць уліковыя даныя і атрымайце праграму самастойна праз правераны канал, які вы дадалі ў закладкі. Ідзіце за рэкамендацыямі платформы адносна непажаданых праграм, замест таго каб выдаліць папку і спадзявацца. Затым запішыце выдаўца, версію і метад праверкі, якія вы прынялі, каб наступнае абнаўленне можна было параўнаць з фактам, а не з памяццю.

Пасля легітымнай замены прайдзіце старыя профілі і дазволы праз кліент і аперацыйную сістэму. Выдаленне спампаванага файла пакідае ўсталяваную праграму на месцы, і стары профіль можа перажыць кліент, які яго стварыў, усё яшчэ паказваючы на канечную кропку, якую ніхто не падтрымлівае. Афіцыйная старонка ўсталявання WireGuard — добры прыклад таго, якога эталону варта трымацца: гэта ўласны спіс распрацоўшчыка, а не люстэрка.