Kas see VPN-rakendus on ametlik build või jäljendus?

Jäljendustarkvara kopeerib nimesid, ikoone ja ekraanipilte ning ühendub piisavalt hästi, et tunduda veenev. See, et tunnel töötab, ei ole millegi tõestuseks, sest küsimus on, kes binaarfaili kirjutas. Käsitlege seda identiteedikontrollina, mitte turvaauditina, ja võtke iga võrdlusväärtus kanalist, mille te ise valisite, mitte rakenduse enda lehelt. Järgneb viis kontrolli ja igaüks võib ebaõnnestuda, kui teised läbivad. Tehke neid järjest, sest hilisem kontroll ei suuda varasemat päästa.

Hankige võrdlusväärtused kanalist, mille te ise valisite

Avage projekti ametlikud allalaadimisjuhised või oma organisatsiooni hallatav tarkvarakanal enne, kui vaatate, mis on paigaldatud. Märkige oodatav poe avaldaja, paketi või paigaldaja identiteet ja toetatud platvormid, seejärel hoidke seda märget kohas, kust leiate selle järgmisel värskendamisel. Otsingutulemus või sponsorlusega paigutus ei ole see kanal, ja tasuline paigutus asub orgaanilisest tulemusest kõrgemal just seetõttu, et inimesed klõpsavad esimesel vaste. Lisage leht järjehoidjatesse, kui olete selle kontrollinud, et järgmine allalaadimine algaks otsusest, mitte korduvast otsingust.

Peegel või kolmanda osapoole paketihoidla on samuti kanal ja see on usaldusväärne niivõrd, kuivõrd usaldusväärne on selle operaator. Kirjutage üles, millist kasutasite, sest just selle detaili unustavad inimesed värskenduste vahel.

Võrrelge paigaldatud avaldajat, mitte nime

Toetuge platvormi enda allkirja- ja rakendusekirjetele, kus need olemas on, seejärel lugege versiooni, värskendusteekonda ja rakenduse taotletud õigusi. Kehtiva allkirja märkamine ei ole sama, mis oodatud avaldaja märkamine, sest sertifikaat tõendab ainult seda, et binaarfaili allkirjastas selle valdaja. Ettevõtte allkiri, millest te pole kunagi kuulnud, on ikkagi kehtiv allkiri, mistõttu peab test nimetama selle osapoole, mida te silmas pidasite. Paigaldaja, mis toob kaasa lisatarkvara, taotleb sertifikaati või avab ootamatu kontoküsimuse, vajab selgitust toote enda dokumentatsioonist.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Käivitage platvormile vastav kontroll ja võrrelge selle väljundit esimeses etapis tehtud võrdlusmärkmega. Ebakõla avaldaja väljal on informatiivsem kui ükskõik kui suur visuaalne sarnasus, sest ikooni kopeerimine ei maksa midagi. Kui väljund nimetab organisatsiooni, mida projekti dokumentatsioonis kusagil ei esine, peatuge seal ega logige sisse.

Mida paigaldatud allkiri tegelikult tõestab

Kui projekt avaldab kontrollsummad, allkirjad või väljaande võtmed, käige läbi kogu dokumenteeritud protseduur, sealhulgas osa võrdlusvõtme hankimisest. Allalaadimisega samal lehel trükitud kontrollsumma tõestab ainult seda, et fail vastab sellele lehele, mis on nõrgem väide, kui tundub. Kasulik küsimus on, kas allkiri ahelas projekti dokumenteeritud identiteedini, mööda teed, mida jäljendus ei kontrolli. Just selle sammu lühendavad inimesed küsimuseks, kas failil üldse allkiri on.

Võtmeserverist hangitud võti ja README-s trükitud sõrmejälg ei ole samaväärsed tõendid. Otsustage, millist te tegelikult kasutasite, enne kui nimetate faili kontrollituks.

Kui rakendus on ehtne, aga profiil mitte

Klient ja serveriprofiil pärinevad kahest erinevast väljaandjast ning nende segiajamine on eraldi tõrge vale binaarfaili paigaldamisest. Ühe projekti hooldatav OpenVPN build laadib mõnuga konfiguratsiooni, mille kirjutas sellega mitteseotud operaator, ja see on normaalne käitumine, mitte tõend kompromiteerimisest. Kehtib ka vastupidine: seaduslik profiil ei muuda mitteametlikku klienti usaldusväärseks. Kontrollige iga objekti selle enda allika vastu ega laske töötaval ühendusel kunagi kahte kontrolli üheks sulandada.

Küsige enne tegutsemist, milline kahest objektist on tegelikult kahtluse all, sest lahendus erineb. Halb klient tähendab uuesti paigaldamist, halb profiil aga ühe faili kustutamist ja uuesti väljastamist.

Toimige ebakindluse korral ja koristage siis korralikult

Kui identiteet jääb ebakindlaks, lõpetage volituste andmine ja hankige tarkvara iseseisvalt teie järjehoidjatesse lisatud kontrollitud kanali kaudu. Järgige platvormi juhiseid soovimatute rakenduste kohta, selle asemel et kaust kustutada ja loota. Seejärel kirjutage üles avaldaja, versioon ja kontrollimeetod, millega nõustusite, et järgmist värskendust saaks võrrelda faktiga, mitte mäluga.

Pärast seaduslikku asendust käige vanad profiilid ja õiguste andmised läbi nii kliendis kui ka operatsioonisüsteemis. Allalaaditud faili desinstallimine jätab paigaldatud rakenduse paigale ning vana profiil võib üle elada selle loonud kliendi, osutades endiselt lõpp-punktile, mida keegi ei halda. WireGuardi ametlik paigaldusleht on hea näide sellest, millist viidet tasub hoida: see on arendaja enda nimekiri, mitte peegel.