Инсталатор на VPN портал: пакет, профил или прекомпилация?

Бутонът за изтегляне на VPN портал връща точно един файл и този файл може да бъде две много различни неща: готов инсталатор от доставчика с конфигурационен профил, който пътува до него, или компилация, която организацията е съставила сама. Страницата изглежда еднакво и в двата случая, така че бутонът не може да ви каже кой от двата имате. Зад него стоят три въпроса — кой е публикувал изпълнимия файл, каква конфигурация записва инсталацията и кой го поправя, когато излезе следващото издание на клиента. На първия отговаряте от метаданните на артефакта, на втория от съдържанието на пакета, а на третия само от екипа, който отговаря за внедряването.

Катинарът на браузъра покрива преноса, а не артефакта.

Какво всъщност връща крайната точка за изтегляне

Повечето портали предават заявката за изтегляне на малък манипулатор, който или предава потоково запазен файл, или сглобява файл в движение, след което задава име на файл и тип съдържание, преди отговорът да тръгне. Това, което пристига, е контейнер: MSI, PKG, DEB или RPM, или саморазархивираща се обвивка около един от тях. Вътре стои клиентският двоичен файл и нищо в името на файла не казва надеждно дали този двоичен файл е дошъл от доставчика, или от вътрешен конвейер за компилация. Файл с име client-setup.exe записва решение за именуване, а не факт за произход.

Сравнете изтеглените байтове с публикуваната от доставчика контролна сума. Несъответствието не доказва злонамереност; то доказва, че файлът не е компилация на доставчика, и точно това е разликата, заради която си струва да се действа.

Къде профилът влиза в клиента

Предварително попълнените настройки обикновено пътуват като отделен файл, който инсталаторът копира в път за отделен потребител или за цялата машина: JSON или XML профил в Windows, конфигурационен профил в macOS, фрагмент под /etc в Linux. Стойностите в този файл — имена на шлюзови хостове, котви за доверие, понякога материали за записване — стават настройки по подразбиране на клиента при първото стартиране. Ето защо едно изтегляне може да носи тайни, както и код.

Попитайте какво прави пътят за надграждане с профила. В зависимост от пакетирането той може да преживее актуализация на клиента, да бъде презаписан от нея или да не премине проверка на схемата в новата версия.

Какво не доказва веригата от подписи

Подписването на код свързва самоличност на издател с хеш на файл и в Windows времевият печат на Authenticode позволява на подписа да надживее сертификата, който го е създал. Валидният резултат отговаря на два въпроса: кой издател е подписал тези байтове и дали те са се променили след това. Той не изброява услугите на инсталатора, записите в регистъра или включените драйвери и не решава дали на този издател трябва да се вярва тук. Документацията на Microsoft за Authenticode описва механизма и е категорична относно този тесен обхват.

Удостоверяването в портала отговаря на трети въпрос: дали сесията е достигнала до предвидения сървър. Три различни проверки, три различни режима на отказ.

Проверете артефакта, преди някой да го стартира

Поставете файла на изолирана машина и прочетете метаданните му, преди да изпълните каквото и да е. Тези команди отговарят на въпроса за издателя на трите основни платформи.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Четете субекта на подписващия, а не само думата за състоянието. Вътрешен сертификатен орган, който подписва вътрешна компилация, е очакван; същият сертификат върху пакет, който твърди, че е издание на доставчика, не е.

За пакет само с профил отворете архива и третирайте всяко вградено име на хост и ключ като данни, за които трябва да се води отчет. Ако профилът съдържа нещо за многократна употреба, разпространението през портала го превръща в споделена тайна с график за внедряване.

Установяване на собствеността преди внедряване

За последния въпрос няма команда. Разберете кой обновява артефакта, когато доставчикът пусне нов клиент, кой държи ключа за подписване на вътрешна компилация и как профилът се сменя, когато крайна точка се премести. Запишете тези имена до връзката за изтегляне.

Ако никой не притежава този отговор, изтеглянето е канал за разпространение без договор за поддръжка и точно това е констатацията, която си струва да се докладва.