VPN-Installer von einem Mirror? Prüfen Sie zuerst den Herausgeber

Der Tunnel funktionierte, die Oberfläche erschien, und die Sitzung blieb eine Woche lang stabil. Nichts davon sagt Ihnen, wer den Installer gebaut hat. Ein VPN-Client läuft mit genügend Rechten, um Routen neu zu schreiben und Anmeldeinformationen zu lesen, deshalb gehört der Herausgeber zum Bedrohungsmodell und nicht in eine Fußnote.

Arbeiten Sie die Prüfungen der Reihe nach ab und hören Sie bei der ersten auf, die scheitert. Sie sind billig, und jede schließt eine andere Lücke.

Erster Schritt: Von dem Kanal herunterladen, den das Projekt nennt

Jedes Projekt dokumentiert, wo seine Releases liegen, und diese Seite ist der Maßstab. Community-Builds, Store-Einträge und Anbieterportale sind alles legitime Kanäle. Jeder von ihnen ist nur dann legitim, wenn das Projekt selbst darauf verweist. Das ist der Test, und er ist nicht dasselbe wie offiziell auszusehen.

Eine Datei, die nach dem Projekt benannt ist, beweist nichts. Einen Installer umzubenennen ist eine Sekundenoperation, und der Name ist das, was ein Suchergebnis zuerst zeigt.

Zweiter Schritt: Die Signatur gegen eine bekannte Identität prüfen

Die Signaturprüfung beantwortet eine enge Frage gut. Sie sagt Ihnen, dass eine bestimmte Identität diese Binärdatei signiert hat und dass sich die Datei seither nicht verändert hat. Sie beantwortet eine Frage und verweigert eine andere. Sie kann Ihnen nicht sagen, ob diese Identität diejenige ist, der Sie vertrauen wollten.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Lesen Sie die Identität, nicht das Statuswort. Ein unbeteiligter Entwickler mit einem gültigen Zertifikat erzeugt eine gültige Signatur. Ein Betriebssystem, das einen anerkannten Herausgeber meldet, hat Ihnen nur gesagt, dass jemand für ein Zertifikat bezahlt hat.

Dritter Schritt: Den Hash mit einer unabhängigen Quelle vergleichen

Eine Prüfsumme beweist die Übereinstimmung mit einem Referenzwert. Wenn die Referenz zusammen mit dem Download ankam, können beide gemeinsam falsch sein, und der Vergleich besteht trotzdem. Das ist das Fehlermuster in den meisten Anleitungen. Der Hash steht auf derselben Seite wie die Datei, die er beschreibt.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Wenn ein Projekt signierte Prüfsummen oder ein signiertes Release-Manifest veröffentlicht, prüfen Sie die Signatur über der Liste statt über jeder einzelnen Datei. So deckt eine vertrauenswürdige Referenz das gesamte Release ab.

Nach der Installation: Den Aktualisierungspfad behalten

Ein unterstützter Kanal bleibt auch nach dem Ende der Installation wichtig. Neu verpackte Builds können ihren eigenen Updater mitbringen, und dieser Updater entscheidet, was nächsten Monat läuft. Ein Build, der nie aktualisiert wird, ist nicht sicherer. Er ist einfach älter.

Halten Sie fest, wie der Client aktualisiert werden soll und ob ein Verwaltungssystem diesen Schritt übernimmt. Wenn die Antwort ein manueller Download aus einem Forum ist, ist die Frage der Lieferkette nie wirklich geschlossen worden.

Zwei Ursprünge, nicht einer

Der Client-Entwickler und der Profilaussteller sind getrennte Parteien. Ein offizieller Client, der ein Profil von einem unbeteiligten Betreiber importiert, ist eine normale Konstellation, und das Profil verdient eine eigene Prüfung: wer es ausgestellt hat, wie es geliefert wurde und ob das Serverzertifikat mit dem erwarteten Namen übereinstimmt.

Halten Sie beide Ursprünge in Ihren Notizen erkennbar. In dem Moment, in dem ein Client ersetzt oder ein Gerät aus einem Backup wiederhergestellt wird, sind es diese zwei Zeilen, die verhindern, dass ein unbekannter Build oder ein unbekanntes Profil mit den übrigen Daten zurückkehrt.