Je li ta VPN aplikacija zvanična verzija ili kopija?

Softver kopija kopira imena, ikone i snimke ekrana i povezuje se dovoljno dobro da izgleda uvjerljivo. To što tunel radi nije dokaz ničega, jer je pitanje ko je napisao binarni fajl. Tretirajte to kao provjeru identiteta, a ne kao sigurnosni pregled, i uzmite svaku referentnu vrijednost iz kanala koji ste sami odabrali, a ne sa stranice same aplikacije. Slijedi pet provjera, a svaka može propasti dok ostale prolaze. Radite ih po redu, jer kasnija provjera ne može spasiti raniju.

Uzmite referentne vrijednosti iz kanala koji ste odabrali

Otvorite zvanična uputstva projekta za preuzimanje ili upravljani kanal softvera svoje organizacije prije nego što pogledate šta je instalirano. Zapišite očekivanog izdavača u trgovini, identitet paketa ili instalatera i podržane platforme, pa čuvajte tu bilješku tamo gdje ćete je naći pri sljedećem ažuriranju. Rezultat pretrage ili sponzorirani plasman nije taj kanal, a plaćeni plasman stoji iznad organskog rezultata upravo zato što ljudi kliknu na prvo podudaranje. Označite stranicu kad je provjerite, da sljedeće preuzimanje počne od odluke, a ne od ponovne pretrage.

Ogledalo ili repozitorij paketa treće strane takođe je kanal i pouzdan je onoliko koliko je pouzdan njegov operater. Zapišite koji ste koristili, jer taj detalj ljudi zaborave između ažuriranja.

Uporedite instaliranog izdavača, a ne ime

Oslonite se na vlastite evidencije platforme o potpisima i aplikacijama gdje postoje, pa pročitajte verziju, putanju ažuriranja i dozvole koje je aplikacija zatražila. Uočiti valjan potpis nije isto što i uočiti izdavača kojeg ste očekivali, jer certifikat potvrđuje samo da je binarni fajl potpisao onaj ko ga posjeduje. Potpis kompanije za koju nikad niste čuli i dalje je valjan potpis, zato provjera mora imenovati stranu koju ste mislili. Instalater koji nosi dodatni softver, traži certifikat ili otvara upit za račun koji niste očekivali, traži objašnjenje iz vlastite dokumentacije proizvoda.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Izvršite provjeru koja odgovara platformi i uporedite njen izlaz s referentnom bilješkom koju ste napravili u prvom koraku. Nesklad u polju izdavača informativniji je od bilo kakve vizualne sličnosti, jer ikona ništa ne košta za kopiranje. Ako izlaz imenuje organizaciju koja se nigdje ne pojavljuje u dokumentaciji projekta, zaustavite se i ne prijavljujte se.

Šta instalirani potpis zapravo dokazuje

Kada projekat objavi kontrolne sume, potpise ili ključeve izdanja, prođite kroz cijeli postupak koji dokumentuje, uključujući dio o pribavljanju referentnog ključa. Kontrolna suma odštampana na istoj stranici kao preuzimanje dokazuje samo da fajl odgovara toj stranici, što je slabija tvrdnja nego što izgleda. Korisno pitanje je da li se potpis lančano veže na identitet koji projekat dokumentuje, putem kojeg kopija ne kontroliše. To je korak koji ljudi skraćuju na pitanje ima li fajl uopšte potpis.

Ključ preuzet s servera ključeva i otisak odštampan u README nisu ekvivalentni dokazi. Odlučite koji ste zaista koristili prije nego što fajl nazovete provjerenim.

Kada je aplikacija stvarna, a profil nije

Klijent i serverski profil dolaze od dva različita izdavaoca, a njihovo miješanje je zaseban neuspjeh od instaliranja pogrešnog binarnog fajla. OpenVPN verzija koju održava jedan projekat rado će učitati konfiguraciju koju je napisao nepovezani operater, i to je normalno ponašanje, a ne dokaz kompromitacije. Vrijedi i obrnuto: legitiman profil ne čini nezvaničnog klijenta pouzdanim. Provjerite svaki objekat prema njegovom vlastitom izvoru i nikad ne dopustite da radna veza spoji dvije provjere u jednu.

Pitajte koji je od dva objekta zaista pod sumnjom prije nego što postupite, jer se rješenje razlikuje. Loš klijent znači ponovnu instalaciju, dok loš profil znači brisanje jednog fajla i njegovo ponovno izdavanje.

Postupite kod nesigurnosti, pa pravilno očistite

Ako identitet ostane nesiguran, prestanite davati akreditive i nabavite softver nezavisno preko provjerenog kanala koji ste označili. Slijedite smjernice platforme za neželjene aplikacije umjesto da obrišete folder i nadate se. Zatim zapišite izdavača, verziju i metodu provjere koje ste prihvatili, da se sljedeće ažuriranje može uporediti s činjenicom, a ne s pamćenjem.

Nakon legitimne zamjene, prođite stare profile i dodjele dozvola kroz klijent i operativni sistem. Deinstaliranje preuzetog fajla ostavlja instaliranu aplikaciju na mjestu, a stari profil može nadživjeti klijent koji ga je stvorio dok još pokazuje na endpoint koji niko ne održava. WireGuardova zvanična stranica za instalaciju dobar je primjer vrste reference koju vrijedi čuvati: to je developerov vlastiti spisak, a ne ogledalo.