ওই VPN ইনস্টলারের স্ক্যান রিপোর্টটি কি আপনার ফাইল সম্পর্কে?

একটি সমষ্টিগত স্ক্যান রিপোর্ট একটি নির্দিষ্ট মুহূর্তে জমা দেওয়া একটি বস্তু বর্ণনা করে, কোনো পণ্য-পরিবার নয়। কোনো শনাক্তকরণ সিদ্ধান্ত বদলানোর আগে নিশ্চিত করুন যে রিপোর্টের হ্যাশ আপনার ডিস্কের ফাইলের সঙ্গে মেলে এবং চিহ্নিত ইঞ্জিন, তারিখ ও সংস্করণের লাইন ওই আর্টিফ্যাক্টের সঙ্গে মিলে যায়। এই তিনটি ক্ষেত্রের কোনোটি অনুপস্থিত থাকলে ফাইলের নামের পাশের সংখ্যা এখনো আপনার বিল্ডের প্রমাণ নয়। নিচের ধাপগুলো ক্রমান্বয়ে চলে, এবং প্রতিটি পর্যালোচনা থামাতে পারে।

স্কোর নিয়ে তর্ক করার বদলে প্রথম অমিলেই থামুন।

স্কোর নয়, ফাইল দিয়ে শুরু করুন

অন্য কিছু স্পর্শ করার আগেই আর্টিফ্যাক্টের SHA-256 লিখে নিন। এটি ডাউনলোড ফোল্ডার থেকে কপি করুন, এমন কোনো শেয়ার্ড ফোল্ডার থেকে নয় যেখানে ইতিমধ্যে পুনঃপ্যাকেজ করা কপি থাকতে পারে, এবং ফাইলের বৈশিষ্ট্যে দেখানো সংস্করণ স্ট্রিং ও প্রকাশক উল্লেখ করুন। দুই রিলিজ আগের ইনস্টলারের জন্য তৈরি রিপোর্ট আজ আপনার ব্যবহারকারীরা যে বিল্ড ইনস্টল করবেন সে সম্পর্কে কিছুই বলে না, এমনকি পণ্যের নাম, আইকন ও বিক্রেতা মিললেও। নাম বেছে নেয় যে ফাইলটি প্যাকেজ করেছে; হ্যাশ নয়।

পরে যাতে জোড়াটি আবার যাচাই করা যায়, সেজন্য ওই হ্যাশটি রিপোর্টের লিঙ্কের সঙ্গে সংরক্ষণ করুন।

আগে শনাক্তকরণ, তারপর ইঞ্জিন পড়ুন

শিরোনামের সংখ্যাটি এমন ইঞ্জিন গোনে যেগুলো কিছু একটি মিলিয়েছে, এবং ওই মিলগুলো সমতুল্য নয়। নামযুক্ত সিগনেচার এমন পরিবার বা আচরণ বর্ণনা করে যা ইঞ্জিনটি চেনে বলে দাবি করে; হিউরিস্টিক বা খ্যাতি-লেবেল কোনো নিয়মের সন্দেহ বর্ণনা করে, যা দুর্বলতর এবং সংজ্ঞা হালনাগাদের মধ্যে সরে যাওয়ার প্রবণতা বেশি। ইঞ্জিন কলামটি বলে দেয় কোন বিক্রেতার মালিকানায় ফলাফলটি আছে এবং তাই কোন বিক্রেতা এটি পর্যালোচনা বা সংশোধন করতে পারে। দুটি ইঞ্জিন একই ফাইল চিহ্নিত করলে তা দ্বিগুণ প্রমাণ নয়, যদি দুটোই একই সিগনেচার সেট কপি করে থাকে।

বিশ্লেষণের টাইমস্ট্যাম্পও দেখুন। সিগনেচার হালনাগাদ হলে বা বিক্রেতা নমুনাটি আবার বিশ্লেষণ করলে রায় বদলাতে পারে।

আপনার কাছে থাকা আর্টিফ্যাক্টের সঙ্গে রিপোর্ট মিলিয়ে দেখুন

আপনি যে প্ল্যাটফর্ম থেকে ডিপ্লয় করবেন সেখানে স্থানীয়ভাবে হ্যাশ গণনা করুন, তারপর রিপোর্টের সঙ্গে প্রতিটি অক্ষর মিলিয়ে তুলনা করুন। এই কমান্ডগুলো ইনস্টলার চালানো ছাড়াই ডাইজেস্ট ছাপে।

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

মিলে যাওয়া ডাইজেস্ট রিপোর্টটিকে ওই বাইট ক্রমের সঙ্গে বাঁধে, আর কিছুর সঙ্গে নয়। ডাইজেস্টগুলো ভিন্ন হলে রিপোর্টটি অন্য ফাইলের এবং পর্যালোচনা ডাউনলোডের উৎস থেকে আবার শুরু হয়।

ডাইজেস্ট মিললে ফলাফলটি পুরো পড়ুন: ইঞ্জিন, লেবেল, সংস্করণ, প্রথম দেখা তারিখ এবং ফাইলটি সই করা বা প্যাক করা হয়েছে বলে কোনো নোট। তারপর আর্টিফ্যাক্টের উপরেই সইকারীর সাবজেক্ট দেখুন, কারণ বৈধ সই আচরণ নির্ধারণ না করেই প্রকাশকের পরিচয় যোগ করে।

প্রশ্নটি সঠিক মালিকের কাছে পাঠান

কেবল ইঞ্জিনের বিক্রেতাই নিজের শনাক্তকরণ সংশোধন করতে পারে, তাই ভুল-পজিটিভ দাবি ওই বিক্রেতার পর্যালোচনা চ্যানেলে হ্যাশ, রিপোর্টের স্থায়ী লিঙ্ক ও ফাইলের বর্ণনা নিয়ে যায়। সফটওয়্যার প্রকাশক একটি পরিষ্কার বিল্ড বা ব্যাখ্যা দিতে পারেন, কিন্তু অন্য কোম্পানির লেবেল মুছতে পারেন না। প্রথমে প্রকাশকের কাছে এস্কেল করলে সাধারণত এক সপ্তাহ যোগ হয়, কোনো তথ্য নয়।

পর্যালোচনা চলাকালে এন্ডপয়েন্ট সুরক্ষা নীতি অটুট রাখুন। স্ক্যানার বন্ধ করা বা বিস্তৃত ফোল্ডার বাদ দেওয়া সতর্কতাটি মেটায় কিন্তু কোন ফাইল মূল্যায়িত হয়েছিল তার উত্তর দেয় না, এবং একই অবস্থার পরবর্তী ঘটনাটি লুকিয়ে রাখে।

একটি পাবলিক ইনস্টলার শনাক্ত করার জন্য যা ন্যূনতম দরকার তা শেয়ার করুন: হ্যাশ, ফাইলের নাম, সংস্করণ ও রিপোর্টের লিঙ্ক। ক্লায়েন্ট প্রোফাইল, ব্যক্তিগত কী বা পূর্ণ মেমরি ইমেজ এর জন্য দরকার নেই, এবং সেগুলোর একটি আপলোড করলে সফটওয়্যারের প্রশ্নটি ডেটা-হ্যান্ডলিং ঘটনায় বদলে যায়।