VPN atariko instalatzailea: paketea, profila ala berreraikuntza?

VPN atari baten deskarga botoiak fitxategi zehatz bat itzultzen du, eta fitxategi hori oso desberdinak diren bi gauza izan daiteke: hornitzailearen instalatzaile prestua, ondoan doan konfigurazio profil batekin, edo erakundeak berak osatutako eraikuntza bat. Orrialdeak berdin dirudi bi kasuetan, beraz botoiak ezin dizu esan zein duzun. Atzean hiru galdera daude — nork argitaratu zuen exekutagarria, zer konfigurazio idazten du instalazioak eta nork konpontzen du hurrengo bezeroaren bertsioa iristen denean. Lehenengoa artefaktuaren metadatuetatik erantzuten duzu, bigarrena paketearen edukitik eta hirugarrena hedapenaren jabea den taldetik bakarrik.

Arakatzailearen sarraila transferentzia estaltzen du, ez artefaktua.

Zer itzultzen duen deskarga muturrak benetan

Atari gehienek deskarga eskaera kudeatzaile txiki bati ematen diote, eta hark biltegiratutako fitxategia transmititzen du edo unean bertan muntatzen du, gero fitxategi-izena eta eduki mota ezartzen ditu erantzuna irten aurretik. Iristen dena edukiontzi bat da: MSI, PKG, DEB edo RPM bat, edo horietako baten inguruko autoerauzketa bilgarri bat. Barruan bezeroaren fitxategi binarioa dago, eta fitxategi-izenak ez du modu fidagarrian esaten binario hori hornitzailetik edo barneko eraikuntza kanaletik etorri zen. client-setup.exe izeneko fitxategi batek izendapen erabaki bat erregistratzen du, ez jatorriaren gertaera bat.

Konparatu deskargatutako byteak hornitzaileak argitaratutako kontrol-batuketarekin. Desadostasunak ez du gaiztakeriarik frogatzen; fitxategia ez dela hornitzailearen eraikuntza frogatzen du, eta hori da jarduteko merezi duen bereizketa.

Non sartzen den profila bezeroan

Aurrez betetako ezarpenak normalean fitxategi bereizi gisa bidaiatzen dute, instalatzaileak erabiltzaileko edo makinako bide batera kopiatzen duena: JSON edo XML profila Windowsen, konfigurazio profila macOSn, zati bat /etc azpian Linuxen. Fitxategi horretako balioak — atebidearen ostalari-izenak, konfiantza-ainerak, batzuetan izen-emate materiala — bezeroaren lehenetsitako balio bihurtzen dira lehen abiaraztean. Horregatik deskarga batek sekretuak eta kodea batera eraman ditzake.

Galdetu zer egiten duen bertsio-berritze bideak profilekin. Paketatzearen arabera, bezeroaren eguneraketa bat gainditu dezake, hark gainidatzi edo bertsio berrian eskema balidazioan huts egin.

Zer ez duen frogatzen sinadura kateak

Kode sinadurak argitaratzailearen identitatea fitxategi hash batekin lotzen du, eta Windowsen Authenticode denbora-zigiluak sinadura sortu zuen ziurtagiria baino gehiago irautea ahalbidetzen du. Emaitza baliozkoa da bi galderari erantzuten dienean: zein argitaratzailek sinatu zituen byte hauek eta gero aldatu ote ziren. Ez ditu instalatzailearen zerbitzuak, erregistro idazketak edo bateratutako kontrolatzaileak zerrendatzen, eta ez du erabakitzen argitaratzaile hori hemen fidagarria den. Microsoften Authenticode dokumentazioa mekanismoa deskribatzen du eta argi mintzatzen da esparru estu horretaz.

Atariko autentifikazioak hirugarren galderari erantzuten dio: saioa aurreikusitako zerbitzarira iritsi zen. Hiru egiaztapen desberdin, hiru hutsegite modu desberdin.

Egiaztatu artefaktua inork exekutatu aurretik

Jarri fitxategia makina isolatu batean eta irakurri haren metadatuak ezer exekutatu aurretik. Komando hauek argitaratzailearen galderari erantzuten diote hiru plataforma nagusietan.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Irakurri sinatzailearen subjektua, ez soilik egoera hitza. Barneko ziurtagiri autoritate batek barneko eraikuntza sinatzea espero da; hornitzailearen bertsioa dela dioen pakete batean ziurtagiri bera ez da espero.

Profil soilik duen pakete batentzat, ireki artxiboa eta tratatu txertatutako ostalari-izen eta gako bakoitza kontuan hartu beharreko datu gisa. Profilak berrerabil daitekeen zerbait badu, atari bidezko banaketak hedapen egutegi bat duen sekretu partekatu bihurtzen du.

Jabetza zehaztea hedapenaren aurretik

Azken galderaren atzean ez dago komandorik. Jakin ezazu nork eguneratzen duen artefaktua hornitzaileak bezero berria bidaltzen duenean, nork duen barneko eraikuntzaren sinadura gakoa eta nola errotatzen den profila mutur bat mugitzen denean. Idatzi izen horiek deskarga estekaren ondoan.

Inork erantzun horren jabe ez bada, deskarga mantentze kontraturik gabeko banaketa kanal bat da, eta hori da salatzeko merezi duen aurkikuntza.