VPN-Portal-Installer: Paket, Profil oder Neubau?

Die Download-Schaltfläche eines VPN-Portals liefert genau eine Datei, und diese Datei kann zwei sehr verschiedene Dinge sein: ein fertiger Installer des Herstellers, neben dem ein Konfigurationsprofil mitreist, oder ein Build, den die Organisation selbst kompiliert hat. Die Seite sieht in beiden Fällen gleich aus, daher kann die Schaltfläche Ihnen nicht sagen, welches Sie haben. Dahinter stehen drei Fragen — wer die ausführbare Datei veröffentlicht hat, welche Konfiguration die Installation schreibt und wer sie repariert, wenn das nächste Client-Release erscheint. Die erste beantworten Sie aus den Metadaten des Artefakts, die zweite aus dem Inhalt des Pakets und die dritte nur aus dem Team, dem das Deployment gehört.

Das Schloss im Browser deckt die Übertragung ab, nicht das Artefakt.

Was der Download-Endpunkt tatsächlich zurückgibt

Die meisten Portale übergeben eine Download-Anfrage an einen kleinen Handler, der entweder eine gespeicherte Datei streamt oder eine Datei im laufenden Betrieb zusammenbaut und dann einen Dateinamen und einen Inhaltstyp setzt, bevor die Antwort das System verlässt. Was ankommt, ist ein Container: ein MSI, ein PKG, ein DEB oder RPM oder ein selbstentpackender Wrapper um eines davon. Darin liegt die Client-Binärdatei, und nichts im Dateinamen sagt zuverlässig, ob diese Binärdatei vom Hersteller oder aus einer internen Build-Pipeline stammt. Eine Datei namens client-setup.exe dokumentiert eine Namensentscheidung, keine Herkunftstatsache.

Vergleichen Sie die heruntergeladenen Bytes mit der veröffentlichten Prüfsumme des Herstellers. Eine Abweichung beweist keine Böswilligkeit; sie beweist, dass die Datei nicht der Hersteller-Build ist, und das ist der Unterschied, bei dem sich Handeln lohnt.

Wo das Profil in den Client gelangt

Vorbefüllte Einstellungen reisen meist als separate Datei, die der Installer in einen Pfad pro Benutzer oder pro Rechner kopiert: ein JSON- oder XML-Profil unter Windows, ein Konfigurationsprofil unter macOS, ein Fragment unter /etc auf Linux. Die Werte in dieser Datei — Gateway-Hostnamen, Vertrauensanker, manchmal Registrierungsmaterial — werden beim ersten Start zu den Standardwerten des Clients. Deshalb kann ein Download sowohl Geheimnisse als auch Code tragen.

Fragen Sie, was der Upgrade-Pfad mit dem Profil macht. Je nach Paketierung kann es ein Client-Update überleben, von ihm überschrieben werden oder die Schemavalidierung in der neuen Version nicht bestehen.

Was die Signaturkette nicht beweist

Codesignierung bindet eine Herausgeberidentität an einen Dateihash, und unter Windows lässt der Authenticode-Zeitstempel eine Signatur länger leben als das Zertifikat, das sie erzeugt hat. Ein gültiges Ergebnis beantwortet zwei Fragen: Welcher Herausgeber hat diese Bytes signiert, und haben sie sich danach geändert. Es zählt weder die Dienste des Installers noch Registry-Schreibvorgänge oder mitgelieferte Treiber auf, und es entscheidet nicht, ob diesem Herausgeber hier vertraut werden sollte. Microsofts Authenticode-Dokumentation beschreibt den Mechanismus und ist ausdrücklich zu diesem engen Umfang.

Die Portal-Authentifizierung beantwortet eine dritte Frage: dass die Sitzung den vorgesehenen Server erreicht hat. Drei verschiedene Prüfungen, drei verschiedene Fehlermodi.

Prüfen Sie das Artefakt, bevor es jemand ausführt

Legen Sie die Datei auf einen isolierten Rechner und lesen Sie ihre Metadaten, bevor Sie irgendetwas ausführen. Diese Befehle beantworten die Herausgeberfrage auf den drei gängigen Plattformen.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Lesen Sie den Betreff des Signierers statt nur das Statuswort. Eine interne Zertifizierungsstelle, die einen internen Build signiert, ist zu erwarten; dasselbe Zertifikat auf einem Paket, das sich als Hersteller-Release ausgibt, nicht.

Bei einem reinen Profilpaket öffnen Sie das Archiv und behandeln jeden eingebetteten Hostnamen und Schlüssel als Daten, die berücksichtigt werden müssen. Enthält das Profil etwas Wiederverwendbares, macht die Portalverteilung daraus ein gemeinsames Geheimnis mit einem Rollout-Zeitplan.

Eigentum vor dem Rollout klären

Hinter der letzten Frage steht kein Befehl. Finden Sie heraus, wer das Artefakt aktualisiert, wenn der Hersteller einen neuen Client ausliefert, wer den Signaturschlüssel für einen internen Build hält und wie das Profil rotiert wird, wenn sich ein Endpunkt verschiebt. Schreiben Sie diese Namen neben den Download-Link.

Wenn niemand diese Antwort besitzt, ist der Download ein Verteilungskanal ohne Wartungsvertrag, und das ist der Befund, der es wert ist, gemeldet zu werden.