Είναι αυτή η εφαρμογή VPN η επίσημη έκδοση ή ένα αντίγραφο;

Το λογισμικό-απομίμηση αντιγράφει ονόματα, εικονίδια και στιγμιότυπα οθόνης, και συνδέεται αρκετά καλά ώστε να φαίνεται πειστικό. Το ότι λειτουργεί το τούνελ δεν αποδεικνύει τίποτε, γιατί το ερώτημα είναι ποιος έγραψε το δυαδικό αρχείο. Αντιμετωπίστε το ως έλεγχο ταυτότητας και όχι ως έλεγχο ασφαλείας, και πάρτε κάθε τιμή αναφοράς από ένα κανάλι που επιλέξατε εσείς, όχι από τη σελίδα της ίδιας της εφαρμογής. Ακολουθούν πέντε έλεγχοι, και καθένας μπορεί να αποτύχει ενώ οι άλλοι περνούν. Εκτελέστε τους με σειρά, γιατί ένας μεταγενέστερος έλεγχος δεν μπορεί να σώσει έναν προηγούμενο.

Πάρτε τις τιμές αναφοράς από κανάλι που επιλέξατε εσείς

Ανοίξτε τις επίσημες οδηγίες λήψης του έργου ή το διαχειριζόμενο κανάλι λογισμικού του οργανισμού σας, πριν κοιτάξετε τι είναι εγκατεστημένο. Σημειώστε τον αναμενόμενο εκδότη του καταστήματος, την ταυτότητα του πακέτου ή του προγράμματος εγκατάστασης και τις υποστηριζόμενες πλατφόρμες, και κρατήστε τη σημείωση εκεί όπου θα τη βρείτε στην επόμενη ενημέρωση. Ένα αποτέλεσμα αναζήτησης ή μια χορηγούμενη θέση δεν είναι αυτό το κανάλι, και η πληρωμένη θέση βρίσκεται πάνω από το οργανικό αποτέλεσμα ακριβώς επειδή οι άνθρωποι κάνουν κλικ στην πρώτη αντιστοιχία. Αποθηκεύστε τη σελίδα στους σελιδοδείκτες αφού την επαληθεύσετε, ώστε η επόμενη λήψη να ξεκινά από μια απόφαση και όχι από μια επαναλαμβανόμενη αναζήτηση.

Ένας καθρέφτης ή ένα αποθετήριο πακέτων τρίτου μέρους είναι επίσης κανάλι, και είναι αξιόπιστο όσο αξιόπιστος είναι ο διαχειριστής του. Γράψτε ποιο χρησιμοποιήσατε, γιατί αυτή ακριβώς τη λεπτομέρεια ξεχνούν οι άνθρωποι ανάμεσα στις ενημερώσεις.

Συγκρίνετε τον εγκατεστημένο εκδότη, όχι το όνομα

Στηριχτείτε στα δικά της αρχεία υπογραφών και εφαρμογών της πλατφόρμας όπου υπάρχουν, και μετά διαβάστε την έκδοση, τη διαδρομή ενημέρωσης και τις άδειες που ζήτησε η εφαρμογή. Το να εντοπίσετε μια έγκυρη υπογραφή δεν είναι το ίδιο με το να εντοπίσετε τον εκδότη που περιμένατε, γιατί ένα πιστοποιητικό βεβαιώνει μόνο ότι ένα δυαδικό αρχείο υπογράφηκε από όποιον το κατέχει. Μια υπογραφή από εταιρεία που δεν έχετε ακούσει ποτέ είναι ακόμη έγκυρη υπογραφή, γι’ αυτό ο έλεγχος πρέπει να ονομάζει το μέρος που εννοούσατε. Ένα πρόγραμμα εγκατάστασης που φέρνει επιπλέον λογισμικό, ζητά πιστοποιητικό ή ανοίγει παράθυρο λογαριασμού που δεν περιμένατε, χρειάζεται εξήγηση από την τεκμηρίωση του ίδιου του προϊόντος.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Εκτελέστε τον έλεγχο που ταιριάζει στην πλατφόρμα και συγκρίνετε την έξοδό του με τη σημείωση αναφοράς που φτιάξατε στο πρώτο βήμα. Μια ασυμφωνία στο πεδίο του εκδότη είναι πιο κατατοπιστική από οποιονδήποτε βαθμό οπτικής ομοιότητας, γιατί ένα εικονίδιο δεν κοστίζει τίποτε να αντιγραφεί. Αν η έξοδος αναφέρει οργανισμό που δεν εμφανίζεται πουθενά στην τεκμηρίωση του έργου, σταματήστε εκεί και μην συνδεθείτε.

Τι αποδεικνύει στην πραγματικότητα η εγκατεστημένη υπογραφή

Όταν ένα έργο δημοσιεύει αθροίσματα ελέγχου, υπογραφές ή κλειδιά έκδοσης, ακολουθήστε ολόκληρη τη διαδικασία που τεκμηριώνει, μαζί με το μέρος για την απόκτηση του κλειδιού αναφοράς. Ένα άθροισμα ελέγχου τυπωμένο στην ίδια σελίδα με τη λήψη αποδεικνύει μόνο ότι το αρχείο ταιριάζει με εκείνη τη σελίδα, που είναι ασθενέστερη αξίωση απ’ όσο φαίνεται. Το χρήσιμο ερώτημα είναι αν η υπογραφή αλυσιδώνει στην ταυτότητα που τεκμηριώνει το έργο, μέσω διαδρομής που δεν ελέγχει το αντίγραφο. Αυτό είναι το βήμα που οι άνθρωποι συντομεύουν στο αν το αρχείο έχει καθόλου υπογραφή.

Ένα κλειδί που ανακτάται από διακομιστή κλειδιών και ένα αποτύπωμα τυπωμένο σε README δεν είναι ισοδύναμες αποδείξεις. Αποφασίστε ποιο χρησιμοποιήσατε πραγματικά πριν χαρακτηρίσετε το αρχείο επαληθευμένο.

Όταν η εφαρμογή είναι γνήσια αλλά το προφίλ δεν είναι

Ένας πελάτης και ένα προφίλ διακομιστή προέρχονται από δύο διαφορετικούς εκδότες, και το να τα μπερδέψετε είναι ξεχωριστή αποτυχία από την εγκατάσταση λάθος δυαδικού αρχείου. Μια έκδοση OpenVPN που συντηρεί ένα έργο θα φορτώσει πρόθυμα μια διαμόρφωση γραμμένη από άσχετο διαχειριστή, και αυτή είναι φυσιολογική συμπεριφορά και όχι απόδειξη παραβίασης. Ισχύει και το αντίστροφο: ένα νόμιμο προφίλ δεν κάνει ένα ανεπίσημο πρόγραμμα-πελάτη αξιόπιστο. Επαληθεύστε κάθε αντικείμενο ως προς τη δική του πηγή και μην αφήσετε ποτέ μια λειτουργική σύνδεση να συγχωνεύσει δύο ελέγχους σε έναν.

Ρωτήστε ποιο από τα δύο αντικείμενα αμφισβητείται πραγματικά πριν ενεργήσετε, γιατί η θεραπεία διαφέρει. Ένας κακός πελάτης σημαίνει επανεγκατάσταση, ενώ ένα κακό προφίλ σημαίνει διαγραφή ενός αρχείου και επανέκδοσή του.

Ενεργήστε στην αβεβαιότητα και μετά καθαρίστε σωστά

Αν η ταυτότητα παραμένει αβέβαιη, σταματήστε να παρέχετε διαπιστευτήρια και αποκτήστε το λογισμικό ανεξάρτητα μέσω του επαληθευμένου καναλιού που αποθηκεύσατε. Ακολουθήστε τις οδηγίες της πλατφόρμας για ανεπιθύμητες εφαρμογές αντί να διαγράψετε έναν φάκελο και να ελπίζετε. Μετά καταγράψτε τον εκδότη, την έκδοση και τη μέθοδο επαλήθευσης που αποδεχτήκατε, ώστε η επόμενη ενημέρωση να συγκριθεί με ένα γεγονός και όχι με τη μνήμη.

Μετά από μια νόμιμη αντικατάσταση, περάστε τα παλιά προφίλ και τις παραχωρήσεις δικαιωμάτων και από τον πελάτη και από το λειτουργικό σύστημα. Η απεγκατάσταση του αρχείου που κατεβάσατε αφήνει την εγκατεστημένη εφαρμογή στη θέση της, και ένα παλιό προφίλ μπορεί να επιβιώσει του πελάτη που το δημιούργησε ενώ ακόμη δείχνει σε ένα τελικό σημείο που κανείς δεν συντηρεί. Η επίσημη σελίδα εγκατάστασης του WireGuard είναι ένα καλό παράδειγμα του είδους αναφοράς που αξίζει να κρατήσετε: είναι η λίστα του ίδιου του προγραμματιστή και όχι ένας καθρέφτης.