¿Esa aplicación VPN es la compilación oficial o una imitación?

El software imitador copia nombres, iconos y capturas de pantalla, y se conecta lo bastante bien como para parecer convincente. Que el túnel funcione no es prueba de nada, porque la pregunta es quién escribió el binario. Trátelo como una comprobación de identidad y no como una auditoría de seguridad, y tome cada valor de referencia de un canal que haya elegido usted, no de la página de la propia aplicación. A continuación hay cinco comprobaciones, y cada una puede fallar mientras las demás pasan. Hágalas en orden, porque una comprobación posterior no puede rescatar una anterior.

Obtenga sus valores de referencia de un canal que haya elegido

Abra las instrucciones oficiales de descarga del proyecto, o el canal de software gestionado de su organización, antes de mirar qué está instalado. Anote el editor esperado de la tienda, la identidad del paquete o del instalador y las plataformas compatibles, y guarde esa nota donde la encuentre en la próxima actualización. Un resultado de búsqueda o una ubicación patrocinada no es ese canal, y la ubicación de pago está por encima del resultado orgánico precisamente porque la gente hace clic en la primera coincidencia. Marque la página como favorita una vez verificada, para que la próxima descarga empiece con una decisión y no con una búsqueda repetida.

Un espejo o un repositorio de paquetes de terceros también es un canal, y es tan fiable como su operador. Anote cuál utilizó, porque ese detalle es el que la gente olvida entre actualizaciones.

Compare el editor instalado, no el nombre

Apóyese en los registros propios de firmas y aplicaciones de la plataforma cuando existan, y después lea la versión, la ruta de actualización y los permisos que solicitó la aplicación. Detectar una firma válida no es lo mismo que detectar el editor que esperaba, porque un certificado solo atestigua que un binario fue firmado por quien lo posee. Una firma de una empresa de la que nunca ha oído hablar sigue siendo una firma válida, y por eso la prueba debe nombrar a la parte que usted quería decir. Un instalador que incluye software adicional, solicita un certificado o abre un aviso de cuenta que usted no esperaba, necesita una explicación de la documentación del propio producto.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Ejecute la comprobación que corresponda a la plataforma y compare su salida con la nota de referencia que hizo en el primer paso. Una discrepancia en el campo del editor es más informativa que cualquier grado de parecido visual, porque un icono no cuesta nada copiar. Si la salida nombra una organización que no aparece en ningún lugar de la documentación del proyecto, deténgase ahí y no inicie sesión.

Qué demuestra realmente la firma instalada

Cuando un proyecto publica sumas de comprobación, firmas o claves de versión, recorra todo el procedimiento que documenta, incluida la parte de obtener la clave de referencia. Una suma de comprobación impresa en la misma página que la descarga solo demuestra que el archivo coincide con esa página, lo cual es una afirmación más débil de lo que parece. La pregunta útil es si la firma encadena con la identidad que documenta el proyecto, a través de una ruta que la imitación no controla. Este es el paso que la gente abrevia a si el archivo tiene o no alguna firma.

Una clave obtenida de un servidor de claves y una huella impresa en un README no son pruebas equivalentes. Decida cuál utilizó realmente antes de calificar el archivo como verificado.

Cuando la aplicación es auténtica pero el perfil no

Un cliente y un perfil de servidor provienen de dos emisores distintos, y confundirlos es un fallo distinto del de instalar el binario equivocado. Una compilación de OpenVPN mantenida por un proyecto cargará sin problemas una configuración escrita por un operador ajeno, y eso es un comportamiento normal y no una prueba de compromiso. Lo contrario también vale: un perfil legítimo no hace fiable a un cliente no oficial. Verifique cada objeto contra su propia fuente y no deje nunca que una conexión funcional fusione dos comprobaciones en una.

Pregunte cuál de los dos objetos está realmente en duda antes de actuar, porque la solución es distinta. Un cliente malo significa reinstalar, mientras que un perfil malo significa borrar un archivo y volver a emitirlo.

Actúe ante la duda y después limpie bien

Si la identidad sigue siendo incierta, deje de proporcionar credenciales y obtenga el software de forma independiente a través del canal verificado que guardó en favoritos. Siga las indicaciones de la plataforma sobre aplicaciones no deseadas en lugar de borrar una carpeta y esperar. Después anote el editor, la versión y el método de verificación que aceptó, para que la próxima actualización pueda compararse con un hecho y no con la memoria.

Tras un reemplazo legítimo, revise los perfiles antiguos y las concesiones de permisos tanto en el cliente como en el sistema operativo. Desinstalar el archivo descargado deja la aplicación instalada en su sitio, y un perfil antiguo puede sobrevivir al cliente que lo creó mientras sigue apuntando a un punto final que nadie mantiene. La página oficial de instalación de WireGuard es un buen ejemplo del tipo de referencia que merece conservarse: es la lista del propio desarrollador y no un espejo.