Εγκαταστάτης VPN από αντίγραφο; Επαληθεύστε πρώτα τον εκδότη

Η σήραγγα λειτούργησε, η διεπαφή εμφανίστηκε και η συνεδρία παρέμεινε σταθερή για μια εβδομάδα. Τίποτα από αυτά δεν σας λέει ποιος έφτιαξε τον εγκαταστάτη. Ένας πελάτης VPN εκτελείται με αρκετά προνόμια ώστε να ξαναγράφει διαδρομές και να διαβάζει διαπιστευτήρια, επομένως ο εκδότης είναι μέρος του μοντέλου απειλών και όχι υποσημείωση.

Εκτελέστε τους ελέγχους με τη σειρά και σταματήστε στον πρώτο που αποτυγχάνει. Είναι φθηνοί και ο καθένας κλείνει ένα διαφορετικό κενό.

Πρώτο βήμα: Κατεβάστε από το κανάλι που ονομάζει το έργο

Κάθε έργο τεκμηριώνει πού βρίσκονται οι εκδόσεις του και αυτή η σελίδα είναι η αναφορά. Οι κοινοτικές κατασκευές, οι καταχωρίσεις καταστημάτων και οι πύλες προμηθευτών είναι όλα νόμιμα κανάλια. Το καθένα είναι νόμιμο μόνο όταν το ίδιο το έργο το υποδεικνύει. Αυτό είναι το κριτήριο και δεν είναι το ίδιο με το να φαίνεται επίσημο.

Ένα αρχείο που πήρε το όνομα του έργου δεν αποδεικνύει τίποτα. Η μετονομασία ενός εγκαταστάτη είναι εργασία ενός δευτερολέπτου και το όνομα είναι αυτό που δείχνει πρώτο ένα αποτέλεσμα αναζήτησης.

Δεύτερο βήμα: Επαληθεύστε την υπογραφή με γνωστή ταυτότητα

Η επαλήθευση υπογραφής απαντά καλά σε ένα στενό ερώτημα. Σας λέει ότι μια συγκεκριμένη ταυτότητα υπέγραψε αυτό το δυαδικό αρχείο και ότι το αρχείο δεν άλλαξε έκτοτε. Απαντά σε ένα ερώτημα και αρνείται ένα άλλο. Δεν μπορεί να σας πει αν αυτή η ταυτότητα είναι εκείνη που θέλατε να εμπιστευτείτε.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Διαβάστε την ταυτότητα, όχι τη λέξη κατάστασης. Ένας άσχετος προγραμματιστής με έγκυρο πιστοποιητικό παράγει έγκυρη υπογραφή. Ένα λειτουργικό σύστημα που αναφέρει αναγνωρισμένο εκδότη σας έχει πει μόνο ότι κάποιος πλήρωσε για πιστοποιητικό.

Τρίτο βήμα: Συγκρίνετε το hash με ανεξάρτητη πηγή

Ένα άθροισμα ελέγχου αποδεικνύει συμφωνία με μια τιμή αναφοράς. Αν η αναφορά έφτασε δίπλα στη λήψη, και τα δύο μπορεί να είναι λάθος μαζί και η σύγκριση να περνά ακόμη. Αυτός είναι ο τρόπος αποτυχίας στα περισσότερα μαθήματα. Το hash βρίσκεται στην ίδια σελίδα με το αρχείο που περιγράφει.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Όταν ένα έργο δημοσιεύει υπογεγραμμένα αθροίσματα ελέγχου ή υπογεγραμμένο μανιφέστο έκδοσης, επαληθεύστε την υπογραφή πάνω στη λίστα και όχι σε κάθε αρχείο χωριστά. Έτσι μία αξιόπιστη αναφορά καλύπτει ολόκληρη την έκδοση.

Μετά την εγκατάσταση: Κρατήστε τη διαδρομή ενημέρωσης

Ένα υποστηριζόμενο κανάλι εξακολουθεί να έχει σημασία μετά το τέλος της εγκατάστασης. Οι επανασυσκευασμένες κατασκευές μπορούν να φέρουν τον δικό τους ενημερωτή και αυτός ο ενημερωτής αποφασίζει τι θα εκτελεστεί τον επόμενο μήνα. Μια κατασκευή που δεν ενημερώνεται ποτέ δεν είναι ασφαλέστερη. Είναι απλώς παλαιότερη.

Καταγράψτε πώς υποτίθεται ότι ενημερώνεται ο πελάτης και αν ένα σύστημα διαχείρισης έχει αυτό το βήμα. Αν η απάντηση είναι χειροκίνητη λήψη από φόρουμ, το ζήτημα της εφοδιαστικής αλυσίδας δεν έκλεισε ποτέ πραγματικά.

Δύο προελεύσεις, όχι μία

Ο προγραμματιστής του πελάτη και ο εκδότης του προφίλ είναι ξεχωριστά μέρη. Ένας επίσημος πελάτης που εισάγει προφίλ από άσχετο πάροχο είναι κανονική ρύθμιση και το προφίλ αξίζει τη δική του εξέταση: ποιος το εξέδωσε, πώς παραδόθηκε και αν το πιστοποιητικό του διακομιστή ταιριάζει με το όνομα που περιμένετε.

Κρατήστε και τις δύο προελεύσεις αναγνωρίσιμες στις σημειώσεις σας. Τη στιγμή που ένας πελάτης αντικαθίσταται ή μια συσκευή επαναφέρεται από αντίγραφο ασφαλείας, αυτές οι δύο γραμμές είναι που εμποδίζουν μια άγνωστη κατασκευή ή ένα άγνωστο προφίλ να επιστρέψει μαζί με τα υπόλοιπα δεδομένα.