এই VPN অ্যাপটি কি অফিসিয়াল বিল্ড নাকি নকল?

নকল সফটওয়্যার নাম, আইকন ও স্ক্রিনশট কপি করে, এবং বিশ্বাসযোগ্য দেখানোর মতো যথেষ্ট ভালোভাবে সংযোগ করে। টানেল কাজ করা কোনো প্রমাণ নয়, কারণ প্রশ্ন হলো বাইনারিটি কে লিখেছে। এটিকে নিরাপত্তা পর্যালোচনা নয়, পরিচয় যাচাই হিসেবে ধরুন, এবং প্রতিটি রেফারেন্স মান অ্যাপের নিজের পৃষ্ঠা থেকে নয়, নিজে বেছে নেওয়া কোনো চ্যানেল থেকে নিন। এরপর পাঁচটি যাচাই আসছে, এবং প্রতিটি ব্যর্থ হতে পারে যখন বাকিগুলো পাস করে। ক্রম অনুসারে করুন, কারণ পরের যাচাই আগেরটিকে বাঁচাতে পারে না।

আপনার রেফারেন্স মান নিজে বেছে নেওয়া চ্যানেল থেকে নিন

কী ইনস্টল আছে তা দেখার আগে প্রকল্পের অফিসিয়াল ডাউনলোড নির্দেশনা, বা আপনার প্রতিষ্ঠানের ব্যবস্থাপিত সফটওয়্যার চ্যানেল খুলুন। প্রত্যাশিত স্টোর প্রকাশক, প্যাকেজ বা ইনস্টলারের পরিচয় এবং সমর্থিত প্ল্যাটফর্মগুলো লিখে রাখুন, তারপর সেই নোটটি পরের আপডেটে খুঁজে পাবেন এমন জায়গায় রাখুন। একটি অনুসন্ধান ফলাফল বা স্পনসরড প্লেসমেন্ট সেই চ্যানেল নয়, এবং অর্থপ্রাপ্ত প্লেসমেন্ট জৈব ফলাফলের ওপরে থাকে ঠিক কারণ মানুষ প্রথম মিলে ক্লিক করে। যাচাই করার পর পৃষ্ঠাটি বুকমার্ক করুন, যাতে পরের ডাউনলোড বারবার অনুসন্ধান থেকে নয়, একটি সিদ্ধান্ত থেকে শুরু হয়।

একটি মিরর বা তৃতীয় পক্ষের প্যাকেজ ভাণ্ডারও একটি চ্যানেল, এবং এটি তার পরিচালকের মতোই বিশ্বাসযোগ্য। কোনটি ব্যবহার করেছেন লিখে রাখুন, কারণ আপডেটের মাঝে মানুষ ঠিক এই বিস্তারিতটাই ভুলে যায়।

নাম নয়, ইনস্টল করা প্রকাশক মিলিয়ে দেখুন

যেখানে আছে সেখানে প্ল্যাটফর্মের নিজস্ব স্বাক্ষর ও অ্যাপ্লিকেশন রেকর্ডের ওপর নির্ভর করুন, তারপর সংস্করণ, আপডেটের পথ এবং অ্যাপটি যে অনুমতিগুলো চেয়েছে তা পড়ুন। বৈধ স্বাক্ষর দেখা আর প্রত্যাশিত প্রকাশক দেখা এক নয়, কারণ একটি সার্টিফিকেট কেবল সাক্ষ্য দেয় যে কোনো বাইনারি যিনি এটি ধারণ করেন তিনি স্বাক্ষর করেছেন। এমন কোম্পানির স্বাক্ষর যাদের নাম আপনি কখনো শোনেননি তবুও বৈধ স্বাক্ষর, তাই যাচাইকে আপনাআপনি যে পক্ষটি বোঝাতে চেয়েছেন তার নাম বলতে হবে। অতিরিক্ত সফটওয়্যার সঙ্গে আনা একটি ইনস্টলার, একটি সার্টিফিকেট চায় বা অপ্রত্যাশিত অ্যাকাউন্ট প্রম্পট খোলে, পণ্যের নিজস্ব নথি থেকে ব্যাখ্যা দাবি করে।

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

প্ল্যাটফর্মের সঙ্গে মেলে এমন যাচাই চালান, এবং এর ফলাফল প্রথম ধাপে তৈরি করা রেফারেন্স নোটের সঙ্গে মিলিয়ে দেখুন। প্রকাশক ক্ষেত্রে অমিল যেকোনো দৃশ্যমান মিলের চেয়ে বেশি তথ্যবহ, কারণ আইকন কপি করতে কিছুই লাগে না। যদি ফলাফলে এমন কোনো প্রতিষ্ঠানের নাম আসে যা প্রকল্পের নথিতে কোথাও নেই, ওখানেই থামুন এবং সাইন ইন করবেন না।

ইনস্টল করা স্বাক্ষর আসলে কী প্রমাণ করে

যখন কোনো প্রকল্প চেকসাম, স্বাক্ষর বা রিলিজ কী প্রকাশ করে, তখন তার নথিভুক্ত পুরো প্রক্রিয়াটি সম্পন্ন করুন, রেফারেন্স কী পাওয়ার অংশসহ। ডাউনলোডের সঙ্গে একই পৃষ্ঠায় ছাপা চেকসাম কেবল প্রমাণ করে ফাইলটি সেই পৃষ্ঠার সঙ্গে মেলে, যা দেখতে যতটা মনে হয় তার চেয়ে দুর্বল দাবি। কাজের প্রশ্ন হলো স্বাক্ষরটি প্রকল্পের নথিভুক্ত পরিচয়ের সঙ্গে শৃঙ্খলাবদ্ধ কি না, এমন পথে যেটি নকলটি নিয়ন্ত্রণ করে না। মানুষ এই ধাপটিকেই সংক্ষেপ করে ফাইলে আদৌ স্বাক্ষর আছে কি না তা-তে।

কি সার্ভার থেকে আনা একটি কী আর README-তে ছাপা একটি ফিঙ্গারপ্রিন্ট সমতুল্য প্রমাণ নয়। ফাইলটিকে যাচাইকৃত বলার আগে ঠিক করুন কোনটি আপনি সত্যিই ব্যবহার করেছেন।

যখন অ্যাপটি আসল কিন্তু প্রোফাইলটি নয়

একটি ক্লায়েন্ট আর একটি সার্ভার প্রোফাইল দুটি আলাদা ইস্যুয়ারের কাছ থেকে আসে, এবং এদের গুলিয়ে ফেলা ভুল বাইনারি ইনস্টল করার চেয়ে আলাদা ব্যর্থতা। একটি প্রকল্পের রক্ষণাবেক্ষণ করা OpenVPN বিল্ড নির্দ্বিধায় অসম্পর্কিত পরিচালকের লেখা কনফিগারেশন লোড করবে, এবং এটি স্বাভাবিক আচরণ, আক্রমণের প্রমাণ নয়। উল্টোটাও সত্য: বৈধ প্রোফাইল অনানুষ্ঠানিক ক্লায়েন্টকে বিশ্বাসযোগ্য করে না। প্রতিটি বস্তুকে তার নিজের উৎসের সঙ্গে যাচাই করুন, এবং কাজ করা সংযোগকে কখনো দুটি যাচাই এক করে ফেলতে দেবেন না।

কাজ করার আগে জিজ্ঞেস করুন দুটি বস্তুর মধ্যে আসলে কোনটি সন্দেহে, কারণ প্রতিকার আলাদা। খারাপ ক্লায়েন্ট মানে পুনরায় ইনস্টল করা, খারাপ প্রোফাইল মানে একটি ফাইল মুছে নতুন করে ইস্যু করা।

অনিশ্চয়তায় পদক্ষেপ নিন, তারপর ঠিকভাবে পরিষ্কার করুন

পরিচয় অনিশ্চিত থাকলে ক্রেডেনশিয়াল দেওয়া বন্ধ করুন এবং আপনি বুকমার্ক করা যাচাইকৃত চ্যানেল দিয়ে সফটওয়্যারটি স্বাধীনভাবে সংগ্রহ করুন। ফোল্ডার মুছে ভরসা করার বদলে অবাঞ্ছিত অ্যাপ্লিকেশনের ব্যাপারে প্ল্যাটফর্মের নির্দেশনা অনুসরণ করুন। তারপর আপনি যে প্রকাশক, সংস্করণ ও যাচাই পদ্ধতি গ্রহণ করেছেন তা লিখে রাখুন, যাতে পরের আপডেট স্মৃতির বদলে একটি তথ্যের সঙ্গে তুলনা করা যায়।

বৈধ প্রতিস্থাপনের পর পুরোনো প্রোফাইল ও অনুমতি দেওয়াগুলো ক্লায়েন্ট এবং অপারেটিং সিস্টেম উভয় দিয়ে ঘুরে দেখুন। ডাউনলোড করা ফাইল আনইনস্টল করলে ইনস্টল করা অ্যাপ্লিকেশন জায়গাতেই থেকে যায়, এবং পুরোনো প্রোফাইল যে ক্লায়েন্ট তৈরি করেছিল তার চেয়ে বেশি দিন বাঁচতে পারে, অথচ তখনো এমন একটি এন্ডপয়েন্টে নির্দেশ করে যা কেউ রক্ষণাবেক্ষণ করে না। WireGuard-এর অফিসিয়াল ইনস্টলেশন পৃষ্ঠা রাখার মতো রেফারেন্সের ভালো উদাহরণ: এটি মিরর নয়, ডেভেলপারের নিজের তালিকা।