VPN instalater s ogledala? Prvo provjerite izdavača

Tunel je radio, interfejs se pojavio i sesija je ostala stabilna cijelu sedmicu. Ništa od toga ne govori ko je napravio instalater. VPN klijent radi s dovoljno privilegija da prepisuje rute i čita vjerodajnice, pa je izdavač dio modela prijetnji, a ne fusnota.

Prođite provjere po redu i zaustavite se na prvoj koja ne uspije. One su jeftine i svaka zatvara drugu prazninu.

Prvi korak: Preuzmite s kanala koji projekt navodi

Svaki projekt dokumentuje gdje se nalaze njegova izdanja i ta stranica je referenca. Komunitarne gradnje, liste u trgovinama i portali dobavljača svi su legitimni kanali. Svaki je legitiman samo kada sam projekt na njega upućuje. To je test i nije isto što i izgledati službeno.

Datoteka nazvana po projektu ne dokazuje ništa. Preimenovanje instalatera je operacija od jedne sekunde, a ime je ono što rezultat pretrage pokaže prvo.

Drugi korak: Provjerite potpis prema poznatom identitetu

Provjera potpisa dobro odgovara na usko pitanje. Kaže vam da je određeni identitet potpisao ovaj binarni fajl i da se fajl od tada nije promijenio. Odgovara na jedno pitanje i odbija drugo. Ne može vam reći je li taj identitet onaj kojem ste namjeravali vjerovati.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Čitajte identitet, a ne riječ statusa. Nepovezani programer s važećim certifikatom proizvodi važeći potpis. Operativni sistem koji prijavljuje priznatog izdavača rekao vam je samo da je neko platio certifikat.

Treći korak: Uporedite hash s nezavisnim izvorom

Kontrolna suma dokazuje podudaranje s referentnom vrijednošću. Ako je referenca stigla uz preuzimanje, obje mogu biti pogrešne zajedno, a poređenje ipak prolazi. To je način neuspjeha u većini tutorijala. Hash stoji na istoj stranici kao datoteka koju opisuje.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Kada projekt objavljuje potpisane kontrolne sume ili potpisani manifest izdanja, provjerite potpis nad listom, a ne nad svakom datotekom zasebno. Tako jedna pouzdana referenca pokriva cijelo izdanje.

Nakon instalacije: Zadržite putanju ažuriranja

Podržani kanal nastavlja biti važan i nakon završetka instalacije. Prepakirane gradnje mogu nositi vlastiti ažurator, a taj ažurator odlučuje šta će raditi sljedećeg mjeseca. Gradnja koja se nikada ne ažurira nije sigurnija. Ona je jednostavno starija.

Zabilježite kako bi klijent trebalo da se ažurira i da li upravljački sistem vodi taj korak. Ako je odgovor ručno preuzimanje s foruma, pitanje lanca nabavke nikada se nije stvarno zatvorilo.

Dva porijekla, ne jedno

Razvijač klijenta i izdavalac profila su odvojene strane. Službeni klijent koji uvozi profil nepovezanog operatera normalan je aranžman, a profil zaslužuje vlastitu provjeru: ko ga je izdao, kako je dostavljen i da li se certifikat servera poklapa s imenom kojem se nadate.

Oba porijekla držite prepoznatljivim u svojim bilješkama. U trenutku kada se klijent zamijeni ili uređaj vrati iz sigurnosne kopije, ta dva reda su ono što sprječava da se nepoznata gradnja ili nepoznati profil vrate s ostatkom podataka.