Gosodwr porth VPN: pecyn, proffil neu ailadeiladu?

Mae botwm lawrlwytho porth VPN yn dychwelyd un ffeil yn union, a gall y ffeil honno fod yn ddau beth gwahanol iawn: gosodwr safonol gan werthwr gyda phroffil cyfluniad yn teithio wrth ei ochr, neu adeilad a luniwyd gan y sefydliad ei hun. Mae’r dudalen yn edrych yr un fath yn y naill achos a’r llall, felly ni all y botwm ddweud wrthych pa un sydd gennych. Mae tri chwestiwn y tu ôl iddo — pwy a gyhoeddodd y gweithredadwy, pa gyfluniad y mae’r gosodiad yn ei ysgrifennu, a phwy sy’n ei drwsio pan ddaw’r rhyddhad cleient nesaf. Atebwch y cyntaf o fetadata’r arteffact, yr ail o gynnwys y pecyn, a’r trydydd yn unig o’r tîm sy’n berchen ar y defnydd.

Mae clicied y porwr yn cwmpasu y trosglwyddiad, nid yr arteffact.

Beth mae’r pwynt lawrlwytho yn ei ddychwelyd mewn gwirionedd

Mae’r rhan fwyaf o borthladdoedd yn trosglwyddo cais lawrlwytho i ddolen fach sydd naill ai’n ffrydio ffeil storio neu’n cydosod un ar y pryd, ac yna’n gosod enw ffeil a math cynnwys cyn i’r ymateb adael. Yr hyn sy’n cyrraedd yw cynhwysydd: MSI, PKG, DEB neu RPM, neu lapio hunan-echdynnol o amgylch un o’r rheini. Y tu mewn mae’r deuaidd cleient, ac nid oes dim yn enw’r ffeil yn dweud yn ddibynadwy ai o’r gwerthwr neu o biblinell adeiladu fewnol y daeth y deuaidd hwnnw. Mae ffeil o’r enw client-setup.exe yn cofnodi penderfyniad enwi, nid ffaith am darddiad.

Cymharwch y beitiau a lawrlwythwyd â’r swm gwirio a gyhoeddwyd gan y gwerthwr. Nid yw anghysondeb yn profi drwg fwriad; mae’n profi nad yw’r ffeil yn adeilad y gwerthwr, a dyna’r gwahaniaeth sy’n werth gweithredu arno.

Lle mae’r proffil yn mynd i mewn i’r cleient

Mae gosodiadau wedi’u llenwi ymlaen llaw fel arfer yn teithio fel ffeil ar wahân y mae’r gosodwr yn ei chopïo i lwybr fesul defnyddiwr neu fesul peiriant: proffil JSON neu XML ar Windows, proffil cyfluniad ar macOS, darn o dan /etc ar Linux. Daw’r gwerthoedd yn y ffeil honno — enwau gwesteiwyr y porth, angorau ymddiriedaeth, weithiau deunydd cofrestru — yn rhagosodiadau’r cleient ar y lansiad cyntaf. Dyma pam y gall un lawrlwytho gario cyfrinachau yn ogystal â chod.

Gofynnwch beth mae’r llwybr uwchraddio yn ei wneud â’r proffil. Yn dibynnu ar y pecynnu, gall oroesi diweddariad cleient, cael ei drosysgrifo ganddo, neu fethu â dilysu sgema yn y fersiwn newydd.

Beth nid yw’r gadwyn lofnod yn ei brofi

Mae llofnodi cod yn clymu hunaniaeth cyhoeddwr wrth hash ffeil, ac ar Windows mae stamp amser Authenticode yn gadael i lofnod oroesi’r dystysgrif a’i creodd. Mae canlyniad dilys yn ateb dau gwestiwn: pa gyhoeddwr a lofnododd y beitiau hyn, ac a newidion nhw wedyn. Nid yw’n rhestru gwasanaethau’r gosodwr, ysgrifau cofrestrfa na gyrwyr sydd wedi’u bwndelu, ac nid yw’n penderfynu a ddylid ymddiried yn y cyhoeddwr hwnnw yma. Mae dogfennaeth Authenticode Microsoft yn disgrifio’r mecanwaith ac mae’n glir am y cwmpas cul hwnnw.

Mae dilysu’r porth yn ateb trydydd cwestiwn, sef bod y sesiwn wedi cyrraedd y gweinydd bwriadedig. Tri gwiriad gwahanol, tri modd methu gwahanol.

Dilyswch yr arteffact cyn i unrhyw un ei redeg

Rhowch y ffeil ar beiriant ar wahân a darllenwch ei metadata cyn gweithredu unrhyw beth. Mae’r gorchmynion hyn yn ateb cwestiwn y cyhoeddwr ar y tair prif lwyfan.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Darllenwch bwnc’r llofnodwr yn hytrach na’r gair statws yn unig. Mae awdurdod tystysgrif mewnol yn llofnodi adeilad mewnol yn ddisgwyliedig; nid yw’r un dystysgrif ar becyn sy’n honni bod yn rhyddhad y gwerthwr.

Ar gyfer pecyn proffil yn unig, agorwch yr archif a thriniwch bob enw gwesteiwr a allwedd sydd wedi’u mewnosod fel data y mae’n rhaid eu cyfrif. Os yw’r proffil yn dal unrhyw beth y gellir ei ailddefnyddio, mae dosbarthiad porth yn ei droi’n gyfrinach a rennir gydag amserlen gyflwyno.

Setlo perchnogaeth cyn cyflwyno

Nid oes gorchymyn y tu ôl i’r cwestiwn olaf. Darganfyddwch pwy sy’n diweddaru’r arteffact pan fydd y gwerthwr yn cludo cleient newydd, pwy sy’n dal yr allwedd lofnodi ar gyfer adeilad mewnol, a sut mae’r proffil yn cael ei gylchdroi pan fydd pwynt terfyn yn symud. Ysgrifennwch yr enwau hynny wrth ymyl y ddolen lawrlwytho.

Os nad oes neb yn berchen ar yr ateb hwnnw, mae’r lawrlwytho yn sianel ddosbarthu heb gontract cynnal a chadw, a dyna’r canfyddiad sy’n werth ei adrodd.