Instalátor VPN ze zrcadla? Nejprve ověřte vydavatele

Tunel fungoval, rozhraní naběhlo a relace vydržela stabilní celý týden. Nic z toho vám neřekne, kdo instalátor sestavil. Klient VPN běží s dostatečnými oprávněními, aby přepisoval trasy a četl přihlašovací údaje, takže vydavatel je součástí modelu hrozeb, ne poznámkou pod čarou.

Procházejte kontroly v pořadí a zastavte se u první, která selže. Jsou levné a každá uzavírá jinou mezeru.

První krok: Stahujte z kanálu, který projekt uvádí

Každý projekt dokumentuje, kde jeho vydání sídlí, a tato stránka je referencí. Komunitní sestavení, položky v obchodech i portály dodavatelů jsou legitimní kanály. Každý z nich je legitimní jen tehdy, když na něj odkazuje sám projekt. To je test a není to totéž jako vypadat oficiálně.

Soubor pojmenovaný po projektu nic nedokazuje. Přejmenovat instalátor je operace na sekundu a právě název ukáže výsledek hledání jako první.

Druhý krok: Ověřte podpis proti známé identitě

Ověření podpisu dobře odpovídá na úzkou otázku. Říká vám, že určitá identita podepsala tento binární soubor a že se soubor od té doby nezměnil. Odpovídá na jednu otázku a jinou odmítá. Nedokáže vám říct, zda je tato identita ta, které jste chtěli důvěřovat.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Čtěte identitu, ne slovo stavu. Nesouvisející vývojář s platným certifikátem vytváří platný podpis. Operační systém, který hlásí uznaného vydavatele, vám řekl jen to, že někdo za certifikát zaplatil.

Třetí krok: Porovnejte hash s nezávislým zdrojem

Kontrolní součet dokazuje shodu s referenční hodnotou. Pokud reference dorazila vedle stažení, mohou být obě špatné zároveň a porovnání přesto projde. To je způsob selhání ve většině návodů. Hash leží na stejné stránce jako soubor, který popisuje.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Když projekt zveřejňuje podepsané kontrolní součty nebo podepsaný manifest vydání, ověřujte podpis nad seznamem, ne nad každým souborem zvlášť. Tak jedna důvěryhodná reference pokrývá celé vydání.

Po instalaci: Zachovejte cestu aktualizace

Podporovaný kanál zůstává důležitý i po dokončení instalace. Přebalená sestavení mohou nést vlastní aktualizátor a ten rozhoduje, co poběží příští měsíc. Sestavení, které se nikdy neaktualizuje, není bezpečnější. Je prostě starší.

Zaznamenejte, jak se má klient aktualizovat a zda tento krok vlastní systém správy. Pokud je odpovědí ruční stažení z fóra, otázka dodavatelského řetězce se nikdy skutečně neuzavřela.

Dva původy, ne jeden

Vývojář klienta a vydavatel profilu jsou oddělené strany. Oficiální klient importující profil od nesouvisejícího operátora je běžné uspořádání a profil si zaslouží vlastní prověrku: kdo jej vydal, jak byl doručen a zda certifikát serveru odpovídá názvu, který očekáváte.

Udržujte oba původy ve svých poznámkách rozpoznatelné. Ve chvíli, kdy je klient nahrazen nebo zařízení obnoveno ze zálohy, právě tyto dva řádky brání tomu, aby se neznámé sestavení nebo neznámý profil vrátily s ostatními daty.