آیا آن برنامه VPN نسخه رسمی است یا یک شبیه‌سازی؟
یک نام کپی‌شده، امضای معتبر و تونل کارکننده کمتر از آنچه به نظر می‌رسد اثبات می‌کنند. ناشر، بسته و مسیر به‌روزرسانی را با صفحه توسعه‌دهنده مقایسه کنید.
نرم‌افزار مشابه، نام‌ها، آیکون‌ها و تصاویر صفحه را کپی می‌کند و به‌اندازه کافی خوب متصل می‌شود تا قانع‌کننده به نظر برسد. کارکردن تونل شاهد هیچ چیز نیست، چون پرسش این است که فایل دودویی را چه کسی نوشته است. با این کار مانند یک بررسی هویت رفتار کنید، نه یک ممیزی امنیتی، و هر مقدار مرجع را از کانالی بگیرید که خودتان انتخاب کرده‌اید، نه از صفحه خود برنامه. پنج بررسی در پی می‌آید و هر یک می‌تواند شکست بخورد در حالی که بقیه قبول می‌شوند. آن‌ها را به ترتیب انجام دهید، چون بررسی بعدی نمی‌تواند بررسی پیشین را نجات دهد.
مقادیر مرجع خود را از کانالی بگیرید که خودتان انتخاب کرده‌اید
پیش از آن‌که ببینید چه چیزی نصب شده است، دستورالعمل‌های دانلود رسمی پروژه یا کانال نرم‌افزار مدیریت‌شده سازمان خود را باز کنید. ناشر مورد انتظار در فروشگاه، هویت بسته یا نصب‌کننده و پلتفرم‌های پشتیبانی‌شده را یادداشت کنید و آن یادداشت را جایی نگه دارید که در به‌روزرسانی بعدی پیدایش کنید. نتیجه جستجو یا جایگاه تبلیغاتی آن کانال نیست، و جایگاه پول‌داده دقیقاً به این دلیل بالای نتیجه طبیعی می‌نشیند که مردم روی نخستین تطابق کلیک می‌کنند. پس از بررسی صفحه، آن را نشانک کنید تا دانلود بعدی از یک تصمیم آغاز شود نه از جستجوی تکراری.
آینه یا مخزن بسته شخص ثالث نیز یک کانال است و تنها به‌اندازه گرداننده‌اش قابل اعتماد است. بنویسید کدام را به کار برده‌اید، چون مردم بین به‌روزرسانی‌ها همین جزئیات را فراموش می‌کنند.
ناشر نصب‌شده را مقایسه کنید، نه نام را
تا جایی که وجود دارد به سوابق امضا و برنامه خود پلتفرم تکیه کنید، سپس نسخه، مسیر به‌روزرسانی و مجوزهایی را که برنامه درخواست کرده است بخوانید. دیدن یک امضای معتبر با دیدن ناشری که انتظار داشتید یکی نیست، چون یک گواهی تنها تصدیق می‌کند که فایل دودویی را دارنده آن امضا کرده است. امضای شرکتی که هرگز نامش را نشنیده‌اید هنوز امضایی معتبر است، و به همین دلیل آزمون باید طرفی را که در نظر داشتید نام ببرد. نصب‌کننده‌ای که نرم‌افزار اضافی می‌آورد، گواهی می‌خواهد یا پنجره حسابی را باز می‌کند که انتظارش را نداشتید، به توضیحی از مستندات خود محصول نیاز دارد.
# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguardبررسی متناسب با پلتفرم را اجرا کنید و خروجی آن را با یادداشت مرجعی که در گام نخست ساختید مقایسه کنید. ناسازگاری در فیلد ناشر از هر میزان شباهت بصری آگاهی‌بخش‌تر است، چون کپی‌کردن آیکون هیچ هزینه‌ای ندارد. اگر خروجی سازمانی را نام ببرد که هیچ‌جا در مستندات پروژه پیدا نمی‌شود، همان‌جا بایستید و وارد نشوید.
امضای نصب‌شده در واقع چه چیزی را اثبات می‌کند
وقتی پروژه‌ای چک‌سام، امضا یا کلید انتشار منتشر می‌کند، تمام رویه‌ای را که مستند کرده است انجام دهید، از جمله بخش مربوط به به‌دست‌آوردن کلید مرجع. چک‌سامی که در همان صفحه دانلود چاپ شده باشد تنها ثابت می‌کند که فایل با آن صفحه می‌خواند، که ادعایی ضعیف‌تر از آنچه به نظر می‌رسد است. پرسش سودمند این است که آیا امضا به هویتی که پروژه مستند کرده است زنجیر می‌شود، از مسیری که شبیه‌سازی آن را کنترل نمی‌کند. مردم همین گام را به این کوتاه می‌کنند که آیا فایل اصلاً امضا دارد یا نه.
کلیدی که از سرور کلید گرفته می‌شود و اثر انگشتی که در README چاپ شده است شاهدهای هم‌ارز نیستند. پیش از آن‌که فایل را تأییدشده بنامید، تصمیم بگیرید کدام را واقعاً به کار برده‌اید.
وقتی برنامه واقعی است اما مشخصات نیست
کارخواه و مشخصات سرور از دو صادرکننده متفاوت می‌آیند، و اشتباه‌گرفتن آن دو شکستی جدا از نصب فایل دودویی نادرست است. نسخه‌ای از OpenVPN که یک پروژه نگهداری می‌کند با خیال راحت پیکربندی‌ای را بارگذاری می‌کند که گرداننده‌ای بی‌ربط نوشته است، و این رفتار طبیعی است نه شاهد نفوذ. عکس آن هم برجاست: مشخصات مشروع کارخواه غیررسمی را قابل اعتماد نمی‌کند. هر شیء را در برابر منبع خودش بررسی کنید و هرگز نگذارید اتصال کارکننده دو بررسی را در یکی ادغام کند.
پیش از اقدام بپرسید کدام یک از دو شیء واقعاً زیر سؤال است، چون درمان متفاوت است. کارخواه بد یعنی نصب دوباره، در حالی که مشخصات بد یعنی حذف یک فایل و صدور دوباره آن.
در نااطمینانی اقدام کنید، سپس درست پاک‌سازی کنید
اگر هویت نامعلوم بماند، ارائه اعتبارنامه‌ها را متوقف کنید و نرم‌افزار را به‌طور مستقل از طریق کانال تأییدشده‌ای که نشانک کرده‌اید به دست آورید. به‌جای حذف یک پوشه و امیدواری، از راهنمایی پلتفرم درباره برنامه‌های ناخواسته پیروی کنید. سپس ناشر، نسخه و روش تأییدی را که پذیرفته‌اید ثبت کنید تا به‌روزرسانی بعدی با یک واقعیت مقایسه شود نه با حافظه.
پس از جایگزینی مشروع، مشخصات قدیمی و اعطای مجوزها را هم در کارخواه و هم در سیستم‌عامل مرور کنید. حذف نصب فایل دانلودشده برنامه نصب‌شده را سر جایش باقی می‌گذارد، و یک مشخصات قدیمی می‌تواند از کارخواهی که آن را ساخته است بیشتر زنده بماند در حالی که هنوز به نقطه پایانی اشاره می‌کند که هیچ‌کس نگهداری‌اش نمی‌کند. صفحه نصب رسمی WireGuard نمونه خوبی از نوع مرجعی است که ارزش نگه‌داشتن دارد: فهرست خود توسعه‌دهنده است نه یک آینه.