Kode irekiko VPN bezeroa: zer frogatzen duen kodeak eta zer ez
Biltegi publiko bat iturburu-kodearen inguruko froga da, ez instalatu duzun buildaren edo haren atzeko zerbitzarien ingurukoa. Parekatu bertsioa, eta gero zabaldu berrikuspena.
Iturburua argitaratuta dago, lizentzia garbia da, eta konexioa oraindik ezin da muturretik muturrera egiaztatu. Hutsune hori arrunta da, eta ez da eskandalua. Kodea argitaratzeak osagai bat gonbidatu gabeko pertsonek ikuskatzeko moduan jartzen du, eta hori propietate erreala eta ezohikoa da. Hortik ez da ondorioztatzen instalatu duzun binarioa kode horretatik datorrenik, ezta hornitzaileak beste aldean exekutatzen duen ezer ere berrikusi denik.
Bereizi osagaia produktutik
Lau gauzak har dezakete kode irekiko etiketa, eta gutxitan daude denak irekita. Bezero aplikazioa da jendeak esan nahi duena. Haren azpiko protokoloaren inplementazioa beste artefaktu bat da, batzuetan liburutegia eta batzuetan zuhaitzaren barruko kodea. Zerbitzari softwarea hirugarrena da, eta hornitzailearen beraren azpiegitura, kontu ataria eta laguntza tresnak laugarrena. Bakoitza irekia edo itxia izan daiteke modu independentean.
Beraz, "gure aplikazioa kode irekikoa da" bezalako adierazpenek lehen elementua deskribatzen dute eta gainerakoa ukitu gabe uzten dute, eta hori ez da deszintasuna, kategoria-irristatze bat baizik. Galdera erabilgarria da zein biltegi, zein etiketatan, dagokion fidatzen zaren osagaiari.
Bereizketa horrek ere azaltzen du zergatik bi produktu bezero ireki berberak dituztenek berme oso desberdinak eskaini ditzaketen. Bezeroa egiazta dezakezun zatia da; operadorearen jokabidea beste bide batzuez ebaluatu behar duzun zatia da.
Parekatu instalatutako builda argitaratutako etiketarekin
Biltegia asmoen erregistroa da; zure diskoan dagoen binarioa da exekutatzen dena. Hutsune hori ixtea ariketa mekanikoa da, eta instalatuta dagoena zehazki identifikatzen hasten da, ez deskarga orriak iragarritakoa.
| Component | What inspection can show | What it leaves untouched |
|---|---|---|
| Client source | How profiles, packets and optional telemetry are handled | Whether the shipped binary matches that source |
| Build output | Whether a declared build reproduces a matching artefact | Whether the source is correct or the toolchain is clean |
| Server software | What the implementation is capable of logging | What the operator actually configures and retains |
| Account and support systems | Almost nothing, unless they are separately published | Everything about how those systems treat your data |
Paketearen metadatuak bertsioa eta jatorria ematen dizkizu, eta horrek baztertu egiten du pakete zaharkitu edo ordezkatu baten kasu arrunta. Ez dizu esaten paketea nola konpilatu zen, eta hain zuzen galdera horri erantzuteko daude build errepikagarriak. Build errepikagarriak alderdi independente bati iturburu beretik berreraikitzea eta irteera bytez byte alderatzea ahalbidetzen diote, eta horrela desadostasuna froga bihurtzen da, susmoa izan beharrean.
Bat etortze perfektuak ere jendeak espero duena baino gutxiago frogatzen du. Erakusten du artefaktua iturburuarekin eta build errezetarekin bat datorrela, ez iturburua akasgabea denik, eta ez erabilitako tresna-katea fidagarria zenik. Biak jakitea merezi du, baina baieztapen desberdinak dira.
dpkg -S /usr/bin/wg
apt-cache policy wireguard-tools
sha256sum /usr/bin/wgNon hasten den sintoma normalean
Irakurketa hau eragiten duen kexa gutxitan da "kodea itxita dago". Normalean behaketa zehatza da: ustekabeko toki batera deitzen duen bezeroa, bertsio oharretatik desberdina den bertsioa, edo tunelak beharko lukeena baino gehiago eskatzen duen laguntza prozesua. Puntu horietako bakoitzak osagai desberdin bat seinalatzen du.
Bezerotik datorren ustekabeko sare trafikoa bezeroaren iturburu-kodearen kontua da, eta konexioa irekitzen duen kode-bidea irakurriz erantzun daiteke. Bertsio desadostasuna ontziratze kontua da. Nortasun agiriak eskatzen dituen laguntza prozesua kontu-sistemaren kontua da, eta bezeroaren auditoriak ez du inoiz konponduko.
Osagaia izendatzeak mesfidantza lausoa egiaztapen zehatz bihurtzen du. Egiaztapen zehatzari erantzun, eztabaidatu edo itxi egin dakioke. Alternatiba hurrengo urratsik gabeko susmo iraunkorra da.
Zer ez duen iristen berrikuspenak, eta zer egin horren ordez
Hornitzailearen zerbitzarietan gordetzea bezeroaren irismenetik kanpo dago. Era berean, fakturazio atari baten, iruzurra egiaztatzeko hornitzaile baten edo eranskinak gordetzen dituen laguntza mahai baten jokabidea. "Zerbitzua auditatu dugu" arte luzatzen den bezero berrikuspenak frogak babesten ez duen baieztapena egiten du.
Irakurri operadoreak gordetzeaz eta eskakizunez argitaratzen duena, idatzi data, eta hartu interesdun baten adierazpen gisa, ez neurketatzat. Froga forma ahulagoa da, eta aldea argi esatea hobea da berriro kontatzean hura goratzea baino.
Ondoren erabili daukazuna hainbat sarreraren arteko bat gisa: instalatutako bertsioaren identitatea, softwarea mantentzen den, bezeroa nola konfiguratuta dagoen, eta operadoreak bere sistemez zer dioen. Kode irekiak ebaluazio hori puntu batean indartzen du. Ez du gainerakoa ordezkatzen.
Auditoria baieztapen batek beti izendatu beharko lituzke bere osagaiak eta bertsioak. Txosten batek ezin badu esan zein biltegi eta zein build aztertu zituen, asmo bat deskribatzen ari da, ez produktu bat.