VPN instalatzailea ispilutik? Egiaztatu argitaratzailea lehenik

Tunela funtzionatu zuen, interfazea agertu zen eta saioa astebete egon zen egonkor. Horietako ezerk ez dizu esaten nori egin zuen instalatzailea. VPN bezero bat nahikoa pribilegioz exekutatzen da ibilbideak berridazteko eta kredentzialak irakurtzeko, beraz, argitaratzailea mehatxu-ereduaren parte da, ez oin-ohar bat.

Egin egiaztapenak ordenan eta gelditu huts egiten duen lehenengoan. Merkeak dira eta bakoitzak hutsune desberdina ixten du.

Lehen urratsa: Deskargatu proiektuak izendatzen duen kanaletik

Proiektu bakoitzak dokumentatzen du non dauden bere bertsioak, eta orri hori da erreferentzia. Komunitateko eraikuntzak, dendako zerrendak eta hornitzaileen portalak kate legitimoak dira. Bakoitza legitimo da proiektuak berak hara seinalatzen duenean soilik. Hori da proba, eta ez da berdin ofiziala ematea.

Proiektuaren izena duen fitxategi batek ez du ezer frogatzen. Instalatzaile bati izena aldatzea segundo bateko eragiketa da, eta izena da bilaketa-emaitzak lehenik erakusten duena.

Bigarren urratsa: Egiaztatu sinadura identitate ezagun baten aurka

Sinaduraren egiaztapenak ondo erantzuten dio galdera estu bati. Esaten dizu identitate zehatz batek sinatu zuela fitxategi bitar hori eta fitxategia ez dela ordutik aldatu. Galdera bati erantzuten dio eta beste bati uko egiten dio. Ezin dizu esan identitate hori zuk konfiantza eman nahi zenion hori den ala ez.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Irakurri identitatea, ez egoera-hitza. Ziurtagiri balioduna duen garatzaile erlaziorik gabeko batek sinadura balioduna sortzen du. Argitaratzaile ezagun bat jakinarazten duen sistema eragile batek soilik esan dizu norbaitek ziurtagiri bat ordaindu zuela.

Hirugarren urratsa: Konparatu hash-a iturri independente batekin

Kontrol-batuketak erreferentzia-balio batekiko adostasuna frogatzen du. Erreferentzia deskargaren ondoan iritsi bazen, biak elkarrekin oker egon daitezke eta konparazioak oraindik gainditzen du. Hori da tutorial gehienetan huts egiteko modua. Hash-a deskribatzen duen fitxategiaren orri berean dago.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Proiektu batek kontrol-batuketa sinatuak edo bertsio-manifestu sinatua argitaratzen duenean, egiaztatu sinadura zerrendaren gainean, ez fitxategi bakoitzean bereizita. Horrela erreferentzia fidagarri batek bertsio osoa estaltzen du.

Instalatu ondoren: Mantendu eguneratze-bidea

Kanal onartu batek garrantzia izaten jarraitzen du instalazioa amaitutakoan. Berrondutako eraikuntzek beren eguneratzailea eraman dezakete, eta eguneratzaile horrek erabakitzen du zer exekutatuko den hurrengo hilabetean. Inoiz eguneratzen ez den eraikuntza ez da seguruagoa. Zaharragoa besterik ez da.

Idatzi bezeroa nola eguneratu behar den eta kudeaketa-sistema batek urrats hori bere gain hartzen duen. Erantzuna foro batetik eskuz deskargatzea bada, hornikuntza-katearen galdera ez zen inoiz benetan itxi.

Bi jatorri, ez bat

Bezeroaren garatzailea eta profilaren igorlea alderdi bereiziak dira. Bezero ofizial batek erlaziorik gabeko operadore baten profila inportatzea ohiko antolaketa da, eta profilak bere ikuskapena merezi du: nork eman zuen, nola entregatu zen eta zerbitzariaren ziurtagiria espero duzun izenarekin bat datorren.

Eduki bi jatorriak identifikagarri zure oharretan. Bezero bat ordezkatzen den edo gailu bat babeskopia batetik berreskuratzen den unean, bi lerro horiek dira eraikuntza ezezagun bat edo profil ezezagun bat gainerako datuekin itzultzea eragozten dutenak.