Er den VPN-app den officielle build eller en kopi?

Kopisoftware kopierer navne, ikoner og skærmbilleder, og den forbinder godt nok til at virke overbevisende. At tunnelen virker er ikke bevis på noget, for spørgsmålet er, hvem der skrev binæren. Behandl det som en identitetskontrol og ikke som en sikkerhedsrevision, og tag hver referenceværdi fra en kanal, du selv har valgt, ikke fra appens egen side. Fem kontroller følger, og hver af dem kan fejle, mens de andre består. Udfør dem i rækkefølge, for en senere kontrol kan ikke redde en tidligere.

Hent dine referenceværdier fra en kanal, du selv har valgt

Åbn projektets officielle downloadvejledning eller din organisations administrerede softwarekanal, før du ser på, hvad der er installeret. Notér den forventede udgiver i butikken, pakkens eller installationsprogrammets identitet og de understøttede platforme, og gem noten, hvor du kan finde den ved næste opdatering. Et søgeresultat eller en sponsoreret placering er ikke den kanal, og den betalte placering står over det organiske resultat, netop fordi folk klikker på det første match. Bogmærk siden, når du har verificeret den, så den næste download starter med en beslutning i stedet for en gentagen søgning.

Et spejl eller et tredjeparts pakkearkiv er også en kanal, og den er kun så pålidelig som sin operatør. Skriv ned, hvilken du brugte, for netop den detalje glemmer folk mellem opdateringer.

Sammenlign den installerede udgiver, ikke navnet

Læn dig op ad platformens egne signatur- og applikationsregistreringer, hvor de findes, og læs derefter versionen, opdateringsvejen og de tilladelser, appen har anmodet om. At opdage en gyldig signatur er ikke det samme som at opdage den udgiver, du forventede, for et certifikat attesterer kun, at en binær blev signeret af den, der har det. En signatur fra en virksomhed, du aldrig har hørt om, er stadig en gyldig signatur, og derfor skal testen navngive den part, du mente. Et installationsprogram, der medbringer ekstra software, anmoder om et certifikat eller åbner en kontoprompt, du ikke forventede, kræver en forklaring fra produktets egen dokumentation.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Kør den kontrol, der passer til platformen, og sammenlign dens output med referencenoten fra det første trin. Uoverensstemmelse i udgiverfeltet er mere informativ end nogen grad af visuel lighed, for et ikon koster intet at kopiere. Hvis outputtet nævner en organisation, der ikke optræder nogen steder i projektets dokumentation, så stop der, og log ikke ind.

Hvad den installerede signatur egentlig beviser

Når et projekt offentliggør kontrolsummer, signaturer eller udgivelsesnøgler, så gennemgå hele den dokumenterede procedure, inklusive delen om at skaffe referencenøglen. En kontrolsum trykt på samme side som downloadet beviser kun, at filen matcher den side, hvilket er en svagere påstand, end den ser ud til. Det nyttige spørgsmål er, om signaturen kæder til den identitet, projektet dokumenterer, ad en vej, som kopien ikke kontrollerer. Det er det trin, folk forkorter til, om filen overhovedet har en signatur.

En nøgle hentet fra en nøgleserver og et fingeraftryk trykt i en README er ikke ækvivalente beviser. Beslut, hvilken du faktisk brugte, før du kalder filen verificeret.

Når appen er ægte, men profilen ikke er

En klient og en serverprofil kommer fra to forskellige udstedere, og at forveksle dem er en anden fejl end at installere den forkerte binære. Et OpenVPN-build vedligeholdt af ét projekt indlæser uden videre en konfiguration skrevet af en uvedkommende operatør, og det er normal adfærd og ikke bevis på kompromittering. Det omvendte gælder også: en legitim profil gør ikke en uofficiel klient troværdig. Verificer hvert objekt mod dets egen kilde, og lad aldrig en fungerende forbindelse smelte to kontroller sammen til én.

Spørg, hvilket af de to objekter der faktisk er i tvivl, før du handler, for afhjælpningen er forskellig. En dårlig klient betyder geninstallation, mens en dårlig profil betyder, at man sletter én fil og udsteder den igen.

Handl ved usikkerhed, og ryd derefter ordentligt op

Hvis identiteten forbliver usikker, så stop med at give legitimationsoplysninger, og skaf softwaren uafhængigt via den verificerede kanal, du har bogmærket. Følg platformens vejledning om uønskede programmer i stedet for at slette en mappe og håbe. Notér derefter den udgiver, version og verifikationsmetode, du accepterede, så den næste opdatering kan sammenlignes med et faktum og ikke med hukommelsen.

Efter en legitim udskiftning, gennemgå de gamle profiler og tilladelser i både klienten og operativsystemet. Afinstallation af den downloadede fil efterlader det installerede program på plads, og en gammel profil kan overleve den klient, der oprettede den, mens den stadig peger på et endpoint, som ingen vedligeholder. WireGuards officielle installationsside er et godt eksempel på den slags reference, der er værd at gemme: det er udviklerens egen liste og ikke et spejl.