Ist diese VPN-App der offizielle Build oder eine Fälschung?

Nachahmungssoftware kopiert Namen, Symbole und Screenshots, und sie verbindet sich gut genug, um überzeugend zu wirken. Dass der Tunnel funktioniert, ist kein Beweis für irgendetwas, denn die Frage ist, wer die Binärdatei geschrieben hat. Behandeln Sie das als Identitätsprüfung und nicht als Sicherheitsaudit, und nehmen Sie jeden Referenzwert aus einem Kanal, den Sie selbst ausgewählt haben, nicht von der Seite der App. Es folgen fünf Prüfungen, und jede kann fehlschlagen, während die anderen bestehen. Arbeiten Sie sie der Reihe nach ab, denn eine spätere Prüfung kann eine frühere nicht retten.

Holen Sie Ihre Referenzwerte aus einem Kanal, den Sie ausgewählt haben

Öffnen Sie die offiziellen Download-Anweisungen des Projekts oder den verwalteten Softwarekanal Ihrer Organisation, bevor Sie nachsehen, was installiert ist. Notieren Sie den erwarteten Store-Herausgeber, die Identität des Pakets oder Installers und die unterstützten Plattformen, und bewahren Sie die Notiz dort auf, wo Sie sie beim nächsten Update finden. Ein Suchergebnis oder eine gesponserte Platzierung ist nicht dieser Kanal, und die bezahlte Platzierung steht gerade deshalb über dem organischen Ergebnis, weil Menschen auf den ersten Treffer klicken. Setzen Sie die Seite ein Lesezeichen, sobald Sie sie geprüft haben, damit der nächste Download mit einer Entscheidung beginnt und nicht mit einer wiederholten Suche.

Ein Spiegel oder ein Drittanbieter-Paket-Repository ist ebenfalls ein Kanal, und er ist nur so vertrauenswürdig wie sein Betreiber. Notieren Sie, welchen Sie verwendet haben, denn genau dieses Detail vergessen Menschen zwischen Updates.

Vergleichen Sie den installierten Herausgeber, nicht den Namen

Stützen Sie sich auf die eigenen Signatur- und Anwendungsdatensätze der Plattform, wo sie existieren, und lesen Sie dann die Version, den Update-Pfad und die Berechtigungen, die die App angefordert hat. Eine gültige Signatur zu erkennen ist nicht dasselbe, wie den erwarteten Herausgeber zu erkennen, denn ein Zertifikat bescheinigt nur, dass eine Binärdatei vom Inhaber signiert wurde. Eine Signatur von einer Firma, von der Sie nie gehört haben, ist immer noch eine gültige Signatur, weshalb die Prüfung die Partei benennen muss, die Sie gemeint haben. Ein Installer, der zusätzliche Software mitbringt, ein Zertifikat anfordert oder eine Kontenabfrage öffnet, die Sie nicht erwartet haben, braucht eine Erklärung aus der Dokumentation des Produkts selbst.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Führen Sie die zur Plattform passende Prüfung aus und vergleichen Sie ihre Ausgabe mit der Referenznotiz aus dem ersten Schritt. Eine Abweichung im Herausgeberfeld ist aussagekräftiger als jedes Maß an visueller Ähnlichkeit, denn ein Symbol kostet nichts zu kopieren. Wenn die Ausgabe eine Organisation nennt, die nirgends in der Dokumentation des Projekts auftaucht, halten Sie dort an und melden Sie sich nicht an.

Was die installierte Signatur tatsächlich beweist

Wenn ein Projekt Prüfsummen, Signaturen oder Release-Schlüssel veröffentlicht, arbeiten Sie die gesamte dokumentierte Prozedur durch, einschließlich des Teils zum Beschaffen des Referenzschlüssels. Eine Prüfsumme, die auf derselben Seite wie der Download abgedruckt ist, beweist nur, dass die Datei zu dieser Seite passt, was eine schwächere Aussage ist, als es aussieht. Die nützliche Frage ist, ob die Signatur an die vom Projekt dokumentierte Identität anschließt, über einen Weg, den die Fälschung nicht kontrolliert. Genau diesen Schritt kürzen Menschen auf die Frage ab, ob die Datei überhaupt eine Signatur hat.

Ein von einem Keyserver geholter Schlüssel und ein in einer README abgedruckter Fingerabdruck sind keine gleichwertigen Beweise. Entscheiden Sie, welchen Sie tatsächlich verwendet haben, bevor Sie die Datei als verifiziert bezeichnen.

Wenn die App echt ist, das Profil aber nicht

Ein Client und ein Serverprofil stammen von zwei verschiedenen Ausstellern, und sie zu verwechseln ist ein anderer Fehler als die falsche Binärdatei zu installieren. Ein von einem Projekt gepflegter OpenVPN-Build lädt bereitwillig eine Konfiguration, die von einem unabhängigen Betreiber geschrieben wurde, und das ist normales Verhalten und kein Beweis für eine Kompromittierung. Umgekehrt gilt auch: Ein legitimes Profil macht einen inoffiziellen Client nicht vertrauenswürdig. Prüfen Sie jedes Objekt gegen seine eigene Quelle, und lassen Sie niemals zu, dass eine funktionierende Verbindung zwei Prüfungen zu einer zusammenfallen lässt.

Fragen Sie, welches der beiden Objekte tatsächlich in Zweifel steht, bevor Sie handeln, denn die Abhilfe unterscheidet sich. Ein schlechter Client bedeutet Neuinstallation, während ein schlechtes Profil bedeutet, eine Datei zu löschen und neu auszustellen.

Handeln Sie bei Unsicherheit und räumen Sie dann ordentlich auf

Bleibt die Identität unklar, stellen Sie die Weitergabe von Anmeldedaten ein und beschaffen Sie die Software unabhängig über den verifizierten Kanal, den Sie mit einem Lesezeichen versehen haben. Befolgen Sie die Anleitung der Plattform für unerwünschte Anwendungen, statt einen Ordner zu löschen und zu hoffen. Notieren Sie dann den Herausgeber, die Version und die Prüfmethode, die Sie akzeptiert haben, damit das nächste Update mit einer Tatsache verglichen werden kann und nicht mit dem Gedächtnis.

Gehen Sie nach einem legitimen Ersatz die alten Profile und Berechtigungen sowohl im Client als auch im Betriebssystem durch. Das Deinstallieren der heruntergeladenen Datei lässt die installierte Anwendung an Ort und Stelle, und ein altes Profil kann den Client überleben, der es erstellt hat, während es weiterhin auf einen Endpunkt zeigt, den niemand pflegt. WireGuards offizielle Installationsseite ist ein gutes Beispiel für die Art von Referenz, die es sich zu behalten lohnt: Sie ist die eigene Liste des Entwicklers und kein Spiegel.