Instalater VPN portala: paket, profil ili ponovna izgradnja?

Dugme za preuzimanje na VPN portalu vraća tačno jednu datoteku, a ta datoteka može biti dvije vrlo različite stvari: gotov instalater dobavljača s konfiguracijskim profilom koji putuje uz njega, ili izgradnja koju je organizacija sama sastavila. Stranica izgleda isto u oba slučaja, pa vam dugme ne može reći koju imate. Iza njega stoje tri pitanja — ko je objavio izvršnu datoteku, koju konfiguraciju upisuje instalacija i ko je popravlja kada stigne sljedeće izdanje klijenta. Na prvo odgovarate iz metapodataka artefakta, na drugo iz sadržaja paketa, a na treće samo iz tima koji posjeduje uvođenje.

Katanac u pregledniku pokriva prenos, a ne artefakt.

Šta krajnja točka za preuzimanje zapravo vraća

Većina portala predaje zahtjev za preuzimanje malom rukovaocu koji ili struji pohranjenu datoteku ili je sastavlja u hodu, a zatim postavlja naziv datoteke i tip sadržaja prije nego odgovor krene. Ono što stigne je kontejner: MSI, PKG, DEB ili RPM, ili samoraspakujući omotač oko jednog od njih. Unutra stoji klijentska binarna datoteka, i ništa u nazivu datoteke pouzdano ne kaže da li je ta binarna datoteka došla od dobavljača ili iz internog procesa izgradnje. Datoteka nazvana client-setup.exe bilježi odluku o imenovanju, a ne činjenicu o porijeklu.

Uporedite preuzete bajtove s kontrolnim zbrojem koji je dobavljač objavio. Neslaganje ne dokazuje zlu namjeru; dokazuje da datoteka nije dobavljačeva izgradnja, i to je razlika zbog koje vrijedi djelovati.

Gdje profil ulazi u klijenta

Unaprijed popunjene postavke obično putuju kao zasebna datoteka koju instalater kopira u putanju za pojedinog korisnika ili za cijelo računalo: JSON ili XML profil na Windowsu, konfiguracijski profil na macOS-u, fragment pod /etc na Linuxu. Vrijednosti u toj datoteci — imena hostova pristupnika, sidra povjerenja, ponekad materijal za upis — postaju klijentove zadane vrijednosti pri prvom pokretanju. Zato jedno preuzimanje može nositi i tajne i kod.

Pitajte šta putanja nadogradnje radi s profilom. Ovisno o pakiranju, može preživjeti ažuriranje klijenta, biti njime prepisan ili pasti na provjeri sheme u novoj verziji.

Šta lanac potpisa ne dokazuje

Potpisivanje koda veže identitet izdavača uz hash datoteke, a na Windowsu vremenska oznaka Authenticodea omogućava potpisu da nadživi certifikat koji ga je stvorio. Valjan rezultat odgovara na dva pitanja: koji je izdavač potpisao te bajtove i jesu li se poslije promijenili. On ne nabraja usluge instalatera, zapise u registru ni priložene upravljačke programe i ne odlučuje treba li tom izdavaču vjerovati ovdje. Microsoftova dokumentacija za Authenticode opisuje mehanizam i izričita je o tom uskom opsegu.

Autentifikacija na portalu odgovara na treće pitanje, da je sesija stigla na predviđeni poslužitelj. Tri različite provjere, tri različita načina neuspjeha.

Provjerite artefakt prije nego što ga bilo ko pokrene

Stavite datoteku na izolirano računalo i pročitajte njezine metapodatke prije nego što bilo šta izvršite. Ove naredbe odgovaraju na pitanje izdavača na tri glavne platforme.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Čitajte subjekt potpisnika, a ne samo riječ statusa. Interno tijelo za certifikate koje potpisuje internu izgradnju je očekivano; isti certifikat na paketu koji tvrdi da je dobavljačevo izdanje nije.

Za paket samo s profilom otvorite arhivu i tretirajte svako ugrađeno ime hosta i ključ kao podatke koji se moraju uzeti u obzir. Ako profil sadrži nešto što se može ponovno upotrijebiti, distribucija putem portala to pretvara u dijeljenu tajnu s planom uvođenja.

Utvrđivanje vlasništva prije uvođenja

Iza posljednjeg pitanja ne stoji nijedna naredba. Saznajte ko ažurira artefakt kada dobavljač pošalje novog klijenta, ko drži ključ za potpisivanje interne izgradnje i kako se profil rotira kada se krajnja točka premjesti. Zapišite ta imena uz vezu za preuzimanje.

Ako niko ne posjeduje taj odgovor, preuzimanje je kanal distribucije bez ugovora o održavanju, i to je nalaz koji vrijedi prijaviti.