Je ta VPN aplikace oficiální build, nebo napodobenina?

Napodobený software kopíruje názvy, ikony a snímky obrazovky a připojuje se dost dobře na to, aby vypadal věrohodně. Fungující tunel není důkazem ničeho, protože otázkou je, kdo napsal binární soubor. Berte to jako kontrolu totožnosti, nikoli jako bezpečnostní audit, a každou referenční hodnotu berte z kanálu, který jste si vybrali vy, ne ze stránky aplikace. Následuje pět kontrol a každá může selhat, i když ostatní projdou. Provádějte je v pořadí, protože pozdější kontrola nemůže zachránit dřívější.

Získejte referenční hodnoty z kanálu, který jste si vybrali

Otevřete oficiální pokyny projektu ke stažení nebo spravovaný softwarový kanál vaší organizace, než se podíváte, co je nainstalováno. Poznamenejte si očekávaného vydavatele v obchodě, totožnost balíčku nebo instalátoru a podporované platformy a pak si poznámku uložte tam, kde ji při příští aktualizaci najdete. Výsledek vyhledávání ani sponzorované umístění tím kanálem není a placené umístění stojí nad organickým výsledkem právě proto, že lidé klikají na první shodu. Až stránku ověříte, uložte si ji do záložek, aby příští stahování začalo rozhodnutím, a ne opakovaným hledáním.

Zrcadlo nebo úložiště balíčků třetí strany je také kanál a je jen tak důvěryhodné jako jeho provozovatel. Zapište si, které z nich jste použili, protože právě tento detail lidé mezi aktualizacemi zapomínají.

Porovnávejte nainstalovaného vydavatele, ne název

Opřete se o vlastní záznamy platformy o podpisech a aplikacích, kde existují, a pak si přečtěte verzi, cestu aktualizace a oprávnění, která aplikace požadovala. Zaznamenat platný podpis není totéž jako zaznamenat vydavatele, kterého jste očekávali, protože certifikát potvrzuje jen to, že binární soubor podepsal ten, kdo ho vlastní. Podpis od společnosti, o které jste nikdy neslyšeli, je stále platný podpis, a proto musí kontrola pojmenovat stranu, kterou jste měli na mysli. Instalátor, který přináší další software, žádá certifikát nebo otevírá výzvu k účtu, kterou jste nečekali, potřebuje vysvětlení z vlastní dokumentace produktu.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Spusťte kontrolu, která odpovídá platformě, a porovnejte její výstup s referenční poznámkou z prvního kroku. Nesoulad v poli vydavatele je informativnější než jakákoli vizuální podobnost, protože ikona nic nestojí zkopírovat. Pokud výstup uvádí organizaci, která se nikde v dokumentaci projektu nevyskytuje, zastavte se a nepřihlašujte se.

Co nainstalovaný podpis skutečně dokazuje

Když projekt zveřejňuje kontrolní součty, podpisy nebo klíče vydání, projděte celý postup, který dokumentuje, včetně části o získání referenčního klíče. Kontrolní součet vytištěný na stejné stránce jako stažení dokazuje jen to, že soubor odpovídá této stránce, což je slabší tvrzení, než se zdá. Užitečná otázka je, zda se podpis řetězí k totožnosti, kterou projekt dokumentuje, cestou, kterou napodobenina nekontroluje. Právě tento krok lidé zkracují na to, zda soubor vůbec má podpis.

Klíč stažený z key serveru a otisk vytištěný v README nejsou rovnocenné důkazy. Rozhodněte, který z nich jste skutečně použili, než soubor označíte za ověřený.

Když je aplikace pravá, ale profil ne

Klient a serverový profil pocházejí od dvou různých vydavatelů a jejich záměna je samostatné selhání od instalace špatného binárního souboru. Build OpenVPN udržovaný jedním projektem bez problémů načte konfiguraci napsanou nesouvisejícím provozovatelem, a to je normální chování, nikoli důkaz kompromitace. Platí to i opačně: legitimní profil nedělá neoficiálního klienta důvěryhodným. Ověřujte každý objekt proti jeho vlastnímu zdroji a nikdy nedovolte, aby funkční připojení sloučilo dvě kontroly v jednu.

Než začnete jednat, zeptejte se, který ze dvou objektů je skutečně zpochybněn, protože náprava se liší. Špatný klient znamená přeinstalaci, kdežto špatný profil znamená smazat jeden soubor a vydat ho znovu.

Jednejte při nejistotě a pak řádně ukliďte

Pokud totožnost zůstává nejistá, přestaňte poskytovat přihlašovací údaje a získejte software nezávisle přes ověřený kanál, který jste si uložili. Postupujte podle pokynů platformy pro nežádoucí aplikace, místo abyste smazali složku a doufali. Poté si poznamenejte vydavatele, verzi a metodu ověření, které jste přijali, aby bylo možné příští aktualizaci porovnat se skutečností, a ne s pamětí.

Po legitimní výměně projděte staré profily a udělená oprávnění v klientovi i v operačním systému. Odinstalování staženého souboru ponechá nainstalovanou aplikaci na místě a starý profil může přežít klienta, který ho vytvořil, a přitom stále ukazovat na koncový bod, který nikdo neudržuje. Oficiální instalační stránka WireGuardu je slušným příkladem reference, kterou stojí za to si uchovat: je to vlastní seznam vývojáře, ne zrcadlo.