VPN-portaali paigaldaja: pakett, profiil või ümberehitus?
Portaalist allalaadimine võib olla allkirjastatud tarnija paigaldaja, ainult profiiliga pakett või sisemine ümberehitus. Enne juurutamist kontrollige avaldajat, sisu ja uuenduste omanikku.
VPN-portaali allalaadimisnupp tagastab täpselt ühe faili ja see fail võib olla kaks väga erinevat asja: tarnija valmis paigaldaja, mille kõrval reisib konfiguratsiooniprofiil, või ehitus, mille organisatsioon ise koostas. Leht näeb mõlemal juhul ühesugune välja, seega ei saa nupp teile öelda, kumb teil on. Selle taga on kolm küsimust — kes avaldas käivitatava faili, millise konfiguratsiooni paigaldus kirjutab ja kes selle parandab, kui järgmine kliendiversioon saabub. Esimesele vastate artefakti metaandmetest, teisele paketi sisust ja kolmandale ainult meeskonnalt, kellele juurutus kuulub.
Brauseri lukk katab ülekande, mitte artefakti.
Mida allalaadimise lõpp-punkt tegelikult tagastab
Enamik portaale annab allalaadimispäringu väikesele töötlejale, mis kas voogedastab salvestatud faili või paneb faili kohapeal kokku, seejärel määrab failinime ja sisutüübi enne, kui vastus lahkub. Kohale jõuab konteiner: MSI, PKG, DEB või RPM või iseavanev mähis ühe nende ümber. Sees on kliendi binaarfail ja miski failinimes ei ütle usaldusväärselt, kas see binaarfail tuli tarnijalt või sisemisest ehitustorust. Fail nimega client-setup.exe registreerib nimetamisotsuse, mitte päritolu fakti.
Võrrelge allalaaditud baidid tarnija avaldatud kontrollsummaga. Erinevus ei tõesta pahatahtlikkust; see tõestab, et fail ei ole tarnija ehitus, ja see on erinevus, mille alusel tasub tegutseda.
Kuhu profiil kliendis siseneb
Eeltäidetud seaded liiguvad tavaliselt eraldi failina, mille paigaldaja kopeerib kasutajapõhisesse või masinapõhisesse teeki: JSON- või XML-profiil Windowsis, konfiguratsiooniprofiil macOS-is, fragment all /etc Linuxis. Selle faili väärtused — lüüsi hostinimed, usaldusankrud, mõnikord registreerimismaterjal — muutuvad kliendi vaikeväärtusteks esimesel käivitamisel. Seetõttu võib üks allalaadimine kanda nii saladusi kui ka koodi.
Küsige, mida uuendustee profiiliga teeb. Sõltuvalt pakendist võib see kliendi uuenduse üle elada, selle poolt üle kirjutatud saada või uues versioonis skeemi valideerimisel ebaõnnestuda.
Mida allkirjaahel ei tõesta
Koodi allkirjastamine seob avaldaja identiteedi faili räsiga ja Windowsis lubab Authenticode'i ajatempel allkirjal elada kauem kui selle loonud sertifikaat. Kehtiv tulemus vastab kahele küsimusele: milline avaldaja need baidid allkirjastas ja kas need pärast seda muutusid. See ei loetle paigaldaja teenuseid, registrikirjeid ega kaasatud draivereid ning ei otsusta, kas seda avaldajat tuleks siin usaldada. Microsofti Authenticode'i dokumentatsioon kirjeldab mehhanismi ja on selle kitsa ulatuse suhtes selgesõnaline.
Portaali autentimine vastab kolmandale küsimusele: kas sessioon jõudis kavandatud serverisse. Kolm erinevat kontrolli, kolm erinevat tõrkemoodust.
Kontrollige artefakti enne, kui keegi selle käivitab
Asetage fail isoleeritud masinasse ja lugege selle metaandmeid enne millegi käivitamist. Need käsud vastavad avaldaja küsimusele kolmel peamisel platvormil.
# Windows PowerShell Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate # macOS pkgutil --check-signature ./Client.pkg codesign -dv --verbose=4 /Applications/Client.app # Debian/Ubuntu dpkg-deb -I ./client_amd64.deb sha256sum ./client_amd64.deb
Lugege allkirjastaja subjekti, mitte ainult olekusõna. Sisemine sertifitseerimisasutus, mis allkirjastab sisemise ehituse, on ootuspärane; sama sertifikaat paketil, mis väidab end olevat tarnija väljaanne, ei ole.
Ainult profiiliga paketi puhul avage arhiiv ja käsitlege iga manustatud hostinime ja võtit andmetena, millega tuleb arvestada. Kui profiil sisaldab midagi korduvkasutatavat, muudab portaalijaotus selle jagatud saladuseks, millel on juurutuskava.
Omandi kindlaksmääramine enne juurutamist
Viimase küsimuse taga ei ole ühtegi käsku. Uurige välja, kes uuendab artefakti, kui tarnija saadab uue kliendi, kelle käes on sisemise ehituse allkirjavõti ja kuidas profiili pööratakse, kui lõpp-punkt liigub. Kirjutage need nimed allalaadimislingi kõrvale.
Kui kellelgi seda vastust ei ole, on allalaadimine jaotuskanal ilma hoolduslepinguta, ja see on leid, mida tasub teatada.