Усталявальнік партала VPN: пакет, профіль ці перабудова?

Кнопка спампоўкі на партале VPN вяртае роўна адзін файл, і гэты файл можа быць дзвюма вельмі рознымі рэчамі: гатовым усталявальнікам ад пастаўшчыка, побач з якім ідзе профіль канфігурацыі, або зборкай, якую арганізацыя сабрала сама. Старонка выглядае аднолькава ў абодвух выпадках, таму кнопка не можа сказаць, які з іх у вас. За ёй стаяць тры пытанні — хто апублікаваў выканальны файл, якія налады запісвае ўсталяванне і хто рамантуе ўсё гэта, калі выходзіць наступны выпуск кліента. На першае вы адказваеце па метаданых артэфакта, на другое — па складзе пакета, а на трэцяе — толькі па камандзе, якая валодае разгортваннем.

Замок браўзера закрывае перадачу, а не артэфакт.

Што насамрэч вяртае пункт спампоўкі

Большасць парталаў перадаюць запыт на спампоўку невялікаму апрацоўшчыку, які альбо патокова аддае захаваны файл, альбо збірае файл на хаду, а затым задае імя файла і тып змесціва, перш чым адказ сыдзе. Прыходзіць кантэйнер: MSI, PKG, DEB ці RPM, або самараспакоўвальная абгортка вакол аднаго з іх. Унутры знаходзіцца кліенцкі бінарны файл, і нішто ў імені файла надзейна не кажа, ці гэты бінарны файл прыйшоў ад пастаўшчыка, ці з унутранага канвеера зборкі. Файл з іменем client-setup.exe фіксуе рашэнне пра назву, а не факт паходжання.

Параўнайце спампаваныя байты з апублікаванай пастаўшчыком кантрольнай сумай. Несупадзенне не даказвае злога намеру; яно даказвае, што файл не з'яўляецца зборкай пастаўшчыка, і менавіта гэта розніца, з якой варта нешта рабіць.

Дзе профіль трапляе ў кліента

Папярэдне запоўненыя налады звычайна ідуць асобным файлам, які ўсталявальнік капіюе ў шлях для кожнага карыстальніка або кожнай машыны: профіль JSON або XML у Windows, профіль канфігурацыі ў macOS, фрагмент у /etc Linux. Значэнні ў гэтым файле — імёны хасцяў шлюза, якары даверу, часам матэрыял рэгістрацыі — становяцца прадвызначанымі наладамі кліента пры першым запуску. Менавіта таму адна спампоўка можа несці не толькі код, але і сакрэты.

Спытайце, што робіць шлях абнаўлення з профілем. У залежнасці ад упакоўкі ён можа перажыць абнаўленне кліента, быць ім перазапісаны або не прайсці праверку схемы ў новай версіі.

Што не даказвае ланцуг подпісаў

Подпіс кода звязвае асобу выдаўца з хэшам файла, а ў Windows адбітак часу Authenticode дазваляе подпісу перажыць сертыфікат, які яго стварыў. Сапраўдны вынік адказвае на два пытанні: які выдавец падпісаў гэтыя байты і ці змяніліся яны пасля гэтага. Ён не пералічвае службы ўсталявальніка, запісы ў рэестр або спадарожныя драйверы і не вырашае, ці можна давяраць гэтаму выдаўцу тут. Дакументацыя Authenticode ад Microsoft апісвае механізм і ясна кажа пра гэты вузкі абсяг.

Аўтэнтыфікацыя на партале адказвае на трэцяе пытанне: ці дасягнула сесія патрэбнага сервера. Тры розныя праверкі, тры розныя рэжымы збою.

Праверце артэфакт, перш чым хтосьці яго запусціць

Змясціце файл на ізаляваную машыну і прачытайце яго метаданыя, перш чым што-небудзь выконваць. Гэтыя каманды адказваюць на пытанне пра выдаўца на трох асноўных платформах.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Чытайце суб'ект падпісанта, а не толькі слова стану. Унутраны цэнтр сертыфікацыі, які падпісвае ўнутраную зборку, — гэта чакана; той жа сертыфікат на пакеце, які выдае сябе за выпуск пастаўшчыка, — не.

Для пакета толькі з профілем адкрыйце архіў і стаўцеся да кожнага ўбудаванага імя хасця і ключа як да даных, якія трэба ўлічыць. Калі профіль змяшчае што-небудзь прыдатнае для паўторнага выкарыстання, раздача праз партал ператварае гэта ў агульны сакрэт з графікам разгортвання.

Вызначэнне ўладальніка перад разгортваннем

За апошнім пытаннем не стаіць ніякая каманда. Высветліце, хто абнаўляе артэфакт, калі пастаўшчык выпускае новага кліента, у каго знаходзіцца ключ подпісу для ўнутранай зборкі і як профіль пераводзіцца, калі канчатковы пункт перамяшчаецца. Запішыце гэтыя імёны побач са спасылкай на спампоўку.

Калі ніхто не валодае гэтым адказам, спампоўка — гэта канал раздачы без дагавора аб абслугоўванні, і менавіта гэта тое, пра што варта паведаміць.