Това VPN приложение официална сборка ли е или имитация?

Имитиращият софтуер копира имена, икони и екранни снимки и се свързва достатъчно добре, за да изглежда убедително. Работещият тунел не е доказателство за нищо, защото въпросът е кой е написал изпълнимия файл. Отнасяйте се към това като към проверка на самоличността, а не като към одит на сигурността, и вземайте всяка референтна стойност от канал, който вие сте избрали, а не от собствената страница на приложението. Следват пет проверки и всяка може да се провали, докато другите минават. Изпълнете ги по ред, защото по-късна проверка не може да спаси по-ранна.

Вземете референтните си стойности от канал, който сте избрали

Отворете официалните инструкции за изтегляне на проекта или управлявания канал за софтуер на вашата организация, преди да погледнете какво е инсталирано. Запишете очаквания издател в магазина, идентичността на пакета или инсталатора и поддържаните платформи, след което пазете тази бележка там, където ще я намерите при следващото обновяване. Резултат от търсене или платено позициониране не е този канал, а платеното позициониране стои над органичния резултат именно защото хората кликват на първото съвпадение. Добавете страницата в отметки, след като я проверите, за да започва следващото изтегляне от решение, а не от повторно търсене.

Огледален сървър или хранилище на пакети от трета страна също е канал и е надежден толкова, колкото е надежден неговият оператор. Запишете кой от тях сте използвали, защото точно този детайл хората забравят между обновяванията.

Сравнете инсталирания издател, а не името

Разчитайте на собствените записи на платформата за подписи и приложения, където ги има, след което прочетете версията, пътя за обновяване и разрешенията, които приложението е поискало. Забелязването на валиден подпис не е същото като забелязването на издателя, когото сте очаквали, защото сертификатът удостоверява само, че изпълним файл е бил подписан от този, който го притежава. Подпис от компания, за която никога не сте чували, пак е валиден подпис, затова проверката трябва да назове страната, която имате предвид. Инсталатор, който носи допълнителен софтуер, иска сертификат или отваря прозорец за акаунт, който не сте очаквали, се нуждае от обяснение от собствената документация на продукта.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Изпълнете проверката, която отговаря на платформата, и сравнете резултата ѝ с референтната бележка, направена в първата стъпка. Несъответствие в полето за издател е по-информативно от всякакво визуално сходство, защото иконата не струва нищо за копиране. Ако резултатът посочва организация, която не се среща никъде в документацията на проекта, спрете там и не влизайте.

Какво всъщност доказва инсталираният подпис

Когато проект публикува контролни суми, подписи или ключове за издание, извървете цялата процедура, която документира, включително частта за получаване на референтния ключ. Контролна сума, отпечатана на същата страница като изтеглянето, доказва само, че файлът съответства на тази страница, което е по-слабо твърдение, отколкото изглежда. Полезният въпрос е дали подписът се свързва с идентичността, която проектът документира, по път, който имитацията не контролира. Именно тази стъпка хората съкращават до въпроса дали файлът изобщо има подпис.

Ключ, взет от сървър за ключове, и отпечатък, отпечатан в README, не са равностойни доказателства. Решете кой от двата всъщност сте използвали, преди да наречете файла проверен.

Когато приложението е истинско, а профилът не е

Клиентът и профилът на сървъра идват от двама различни издатели и объркването им е отделен провал от инсталирането на грешен изпълним файл. Сборка на OpenVPN, поддържана от един проект, ще зареди без проблем конфигурация, написана от несвързан оператор, и това е нормално поведение, а не доказателство за компрометиране. Обратното също важи: легитимен профил не прави неофициален клиент надежден. Проверявайте всеки обект спрямо собствения му източник и никога не позволявайте работеща връзка да слее две проверки в една.

Попитайте кой от двата обекта всъщност е под съмнение, преди да действате, защото поправката е различна. Лош клиент означава преинсталиране, докато лош профил означава изтриване на един файл и повторното му издаване.

Действайте при несигурност, после почистете правилно

Ако самоличността остава несигурна, спрете да предоставяте идентификационни данни и получете софтуера независимо през проверения канал, който сте добавили в отметки. Следвайте указанията на платформата за нежелани приложения, вместо да изтриете папка и да се надявате. След това запишете издателя, версията и метода за проверка, които сте приели, за да може следващото обновяване да бъде сравнено с факт, а не с памет.

След легитимна подмяна прегледайте старите профили и разрешенията през клиента и операционната система. Деинсталирането на изтегления файл оставя инсталираното приложение на място и стар профил може да надживее клиента, който го е създал, докато още сочи към крайна точка, която никой не поддържа. Официалната страница за инсталиране на WireGuard е добър пример за вида референция, която си струва да пазите: това е собственият списък на разработчика, а не огледало.