Aquesta aplicació VPN és la compilació oficial o una imitació?

El programari imitador copia noms, icones i captures de pantalla, i es connecta prou bé per semblar convincent. Que el túnel funcioni no és prova de res, perquè la pregunta és qui va escriure el binari. Tracteu-ho com una comprovació d’identitat i no com una auditoria de seguretat, i preneu cada valor de referència d’un canal que hàgiu triat vosaltres, no de la pàgina de l’aplicació. A continuació hi ha cinc comprovacions, i cadascuna pot fallar mentre les altres passen. Feu-les en ordre, perquè una comprovació posterior no pot rescatar una d’anterior.

Obteniu els valors de referència d’un canal que hàgiu triat

Obriu les instruccions oficials de descàrrega del projecte, o el canal de programari gestionat de la vostra organització, abans de mirar què hi ha instal·lat. Anoteu l’editor esperat de la botiga, la identitat del paquet o de l’instal·lador i les plataformes compatibles, i guardeu la nota on la trobareu a la propera actualització. Un resultat de cerca o un emplaçament patrocinat no és aquell canal, i l’emplaçament de pagament se situa per sobre del resultat orgànic precisament perquè la gent fa clic a la primera coincidència. Afegiu la pàgina als marcadors quan l’hàgiu verificat, perquè la propera descàrrega comenci amb una decisió i no amb una cerca repetida.

Un mirall o un repositori de paquets de tercers també és un canal, i només és tan fiable com el seu operador. Anoteu quin heu fet servir, perquè aquest detall és el que la gent oblida entre actualitzacions.

Compareu l’editor instal·lat, no el nom

Recolzeu-vos en els registres de signatures i d’aplicacions de la pròpia plataforma quan existeixin, i després llegiu la versió, la ruta d’actualització i els permisos que ha demanat l’aplicació. Detectar una signatura vàlida no és el mateix que detectar l’editor que esperàveu, perquè un certificat només certifica que un binari el va signar qui el posseeix. Una signatura d’una empresa de la qual no heu sentit parlar mai continua sent una signatura vàlida, i per això la prova ha de nomenar la part que teníeu al cap. Un instal·lador que inclou programari addicional, demana un certificat o obre un avís de compte que no esperàveu, necessita una explicació de la documentació del propi producte.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Executeu la comprovació que correspongui a la plataforma i compareu-ne la sortida amb la nota de referència que vau fer al primer pas. Una discrepància en el camp de l’editor és més informativa que qualsevol semblança visual, perquè una icona no costa res de copiar. Si la sortida nomena una organització que no apareix enlloc de la documentació del projecte, atureu-vos allà i no inicieu sessió.

Què demostra realment la signatura instal·lada

Quan un projecte publica sumes de verificació, signatures o claus de versió, seguiu tot el procediment que documenta, inclosa la part d’obtenir la clau de referència. Una suma de verificació impresa a la mateixa pàgina que la descàrrega només demostra que el fitxer coincideix amb aquella pàgina, cosa que és una afirmació més feble del que sembla. La pregunta útil és si la signatura encadena amb la identitat que documenta el projecte, a través d’un camí que la imitació no controla. Aquest és el pas que la gent abreuja a si el fitxer té alguna signatura.

Una clau obtinguda d’un servidor de claus i una empremta impresa en un README no són proves equivalents. Decidiu quina heu fet servir realment abans de qualificar el fitxer de verificat.

Quan l’aplicació és autèntica però el perfil no

Un client i un perfil de servidor provenen de dos emissors diferents, i confondre’ls és un error diferent del d’instal·lar el binari equivocat. Una compilació d’OpenVPN mantinguda per un projecte carregarà sense problemes una configuració escrita per un operador no relacionat, i això és un comportament normal i no una prova de compromís. El contrari també val: un perfil legítim no fa fiable un client no oficial. Verifiqueu cada objecte contra la seva pròpia font i no deixeu mai que una connexió funcional fusioni dues comprovacions en una.

Pregunteu quin dels dos objectes està realment en dubte abans d’actuar, perquè la solució és diferent. Un client dolent vol dir reinstal·lar, mentre que un perfil dolent vol dir esborrar un fitxer i tornar-lo a emetre.

Actueu davant del dubte i després netegeu bé

Si la identitat continua sent incerta, deixeu de proporcionar credencials i obteniu el programari de manera independent a través del canal verificat que heu desat als marcadors. Seguiu les indicacions de la plataforma sobre aplicacions no desitjades en lloc d’esborrar una carpeta i esperar. Després anoteu l’editor, la versió i el mètode de verificació que heu acceptat, perquè la propera actualització es pugui comparar amb un fet i no amb la memòria.

Després d’una substitució legítima, reviseu els perfils antics i les concessions de permisos tant al client com al sistema operatiu. Desinstal·lar el fitxer descarregat deixa l’aplicació instal·lada al seu lloc, i un perfil antic pot sobreviure al client que el va crear mentre encara apunta a un punt final que ningú no manté. La pàgina oficial d’instal·lació de WireGuard és un bon exemple del tipus de referència que val la pena conservar: és la llista del propi desenvolupador i no un mirall.