VPN-i paigaldaja peeglist? Kontrollige esmalt avaldajat

Tunnel töötas, liides tuli üles ja seanss püsis terve nädala stabiilne. Miski sellest ei ütle, kes paigaldaja ehitas. VPN-klient töötab piisavate õigustega, et marsruute ümber kirjutada ja mandaate lugeda, seega on avaldaja ohumudeli osa, mitte joonealune märkus.

Tehke kontrollid järjekorras ja peatuge esimese juures, mis ebaõnnestub. Need on odavad ja igaüks sulgeb erineva lünga.

Esimene samm: Laadige alla kanalist, mille projekt nimetab

Iga projekt dokumenteerib, kus selle väljaanded asuvad, ja see leht on võrdlusalus. Kogukonna buildid, poe loendid ja tarnijaportaalid on kõik legitiimsed kanalid. Igaüks neist on legitiimne ainult siis, kui projekt ise sellele osutab. See ongi test, ja see ei ole sama, mis ametlikuna näida.

Projekti järgi nimetatud fail ei tõesta midagi. Paigaldaja ümbernimetamine on ühe sekundi operatsioon, ja just nimi on see, mida otsingutulemus kõigepealt näitab.

Teine samm: Kontrollige allkirja tuntud identiteedi vastu

Allkirja kontrollimine vastab hästi kitsale küsimusele. See ütleb, et teatud identiteet allkirjastas selle binaarfaili ja et fail ei ole sellest ajast muutunud. See vastab ühele küsimusele ja keeldub teisest. See ei saa öelda, kas see identiteet on see, keda te usaldada kavatsesite.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Lugege identiteeti, mitte olekusõna. Sõltumatu arendaja kehtiva sertifikaadiga loob kehtiva allkirja. Operatsioonisüsteem, mis teatab tunnustatud avaldajast, on teile öelnud vaid seda, et keegi maksis sertifikaadi eest.

Kolmas samm: Võrrelge räsi sõltumatu allikaga

Kontrollsumma tõestab vastavust võrdlusväärtusega. Kui võrdlusväärtus saabus allalaadimise kõrval, võivad mõlemad olla korraga valed ja võrdlus läbib siiski. See on enamiku õpetuste ebaõnnestumise muster. Räsi asub samal lehel kui fail, mida see kirjeldab.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Kui projekt avaldab allkirjastatud kontrollsummad või allkirjastatud väljaande manifesti, kontrollige allkirja nimekirja kohal, mitte iga faili eraldi. Nii katab üks usaldusväärne võrdlus kogu väljaande.

Pärast paigaldamist: Hoidke uuenduste tee

Toetatud kanal loeb ka pärast paigaldamise lõppu. Ümberpakendatud buildid võivad kanda oma uuendajat ja see uuendaja otsustab, mis järgmisel kuul töötab. Build, mida kunagi ei uuendata, ei ole turvalisem. See on lihtsalt vanem.

Pange kirja, kuidas klient peaks end uuendama ja kas haldussüsteem vastutab selle sammu eest. Kui vastuseks on käsitsi allalaadimine foorumist, ei ole tarneahela küsimus kunagi päriselt sulgunud.

Kaks päritolu, mitte üks

Kliendi arendaja ja profiili väljaandja on eraldi osapooled. Ametlik klient, mis impordib profiili sõltumatult operaatorilt, on tavaline lahendus, ja profiil väärib oma kontrolli: kes selle väljastas, kuidas see toimetati ja kas serveri sertifikaat vastab oodatavale nimele.

Hoidke mõlemad päritolud oma märkmetes tuvastatavad. Hetkel, mil klient asendatakse või seade varukoopiast taastatakse, on just need kaks rida see, mis takistab tundmatul buildil või tundmatul profiilil koos ülejäänud andmetega naasta.