Onko tuo VPN-sovellus virallinen versio vai jäljitelmä?

Jäljittelyohjelmisto kopioi nimiä, kuvakkeita ja kuvakaappauksia, ja se yhdistää tarpeeksi hyvin näyttääkseen vakuuttavalta. Tunnelin toimiminen ei todista mitään, koska kysymys on siitä, kuka binäärin kirjoitti. Käsittele tätä identiteettitarkistuksena, älä tietoturvaauditointina, ja ota jokainen vertailuarvo kanavasta, jonka valitsit itse, älä sovelluksen omalta sivulta. Seuraa viisi tarkistusta, ja jokainen niistä voi epäonnistua, kun muut menevät läpi. Tee ne järjestyksessä, koska myöhempi tarkistus ei voi pelastaa aiempaa.

Hanki vertailuarvosi kanavasta, jonka valitsit itse

Avaa projektin viralliset latausohjeet tai organisaatiosi hallittu ohjelmistokanava ennen kuin katsot, mitä on asennettu. Kirjaa odotettu kaupan julkaisija, paketin tai asentajan identiteetti ja tuetut alustat, ja pidä muistiinpano siellä, mistä löydät sen seuraavalla päivityksellä. Hakutulos tai sponsoroitu sijoitus ei ole se kanava, ja maksettu sijoitus on orgaanisen tuloksen yläpuolella juuri siksi, että ihmiset klikkaavat ensimmäistä osumaa. Merkitse sivu kirjanmerkiksi, kun olet vahvistanut sen, jotta seuraava lataus alkaa päätöksestä eikä toistuvasta hausta.

Peilipalvelin tai kolmannen osapuolen pakettivarasto on myös kanava, ja se on yhtä luotettava kuin sen ylläpitäjä. Kirjoita muistiin, kumpaa käytit, koska juuri sen yksityiskohdan ihmiset unohtavat päivitysten välillä.

Vertaa asennettua julkaisijaa, älä nimeä

Nojaudu alustan omiin allekirjoitus- ja sovellustietueisiin siellä, missä niitä on, ja lue sitten versio, päivityspolku ja sovelluksen pyytämät käyttöoikeudet. Kelvollisen allekirjoituksen havaitseminen ei ole sama kuin odottamasi julkaisijan havaitseminen, koska varmenne todistaa vain, että binäärin on allekirjoittanut sen haltija. Yrityksen allekirjoitus, josta et ole koskaan kuullut, on yhä kelvollinen allekirjoitus, minkä vuoksi testin on nimettävä se osapuoli, jota tarkoitit. Asentaja, joka tuo mukanaan ylimääräistä ohjelmistoa, pyytää varmennetta tai avaa odottamattoman tilikehotteen, tarvitsee selityksen tuotteen omasta dokumentaatiosta.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Suorita alustaan sopiva tarkistus ja vertaa sen tulosta ensimmäisessä vaiheessa tekemääsi vertailumuistiinpanoon. Poikkeama julkaisijakentässä on informatiivisempi kuin mikään visuaalinen samankaltaisuus, koska kuvakkeen kopioiminen ei maksa mitään. Jos tuloste nimeää organisaation, jota ei esiinny missään projektin dokumentaatiossa, pysähdy siihen äläkä kirjaudu sisään.

Mitä asennettu allekirjoitus todella todistaa

Kun projekti julkaisee tarkistussummia, allekirjoituksia tai julkaisuavaimia, käy läpi koko dokumentoitu menettely, mukaan lukien osa vertailuavaimen hankkimisesta. Samalla sivulla kuin lataus painettu tarkistussumma todistaa vain, että tiedosto vastaa sitä sivua, mikä on heikompi väite kuin miltä näyttää. Hyödyllinen kysymys on, ketjuuntuuko allekirjoitus projektin dokumentoimaan identiteettiin polkua, jota jäljitelmä ei hallitse. Juuri tämän vaiheen ihmiset lyhentävät kysymykseksi siitä, onko tiedostossa ylipäänsä allekirjoitus.

Avainpalvelimelta haettu avain ja README-tiedostoon painettu sormenjälki eivät ole vastaavia todisteita. Päätä, kumpaa todella käytit, ennen kuin kutsut tiedostoa vahvistetuksi.

Kun sovellus on aito mutta profiili ei

Asiakasohjelma ja palvelinprofiili tulevat kahdelta eri myöntäjältä, ja niiden sekoittaminen on erillinen epäonnistuminen väärän binäärin asentamisesta. Yhden projektin ylläpitämä OpenVPN-versio lataa mielellään konfiguraation, jonka on kirjoittanut siihen liittymätön operaattori, ja se on normaalia käytöstä eikä todiste murrosta. Myös päinvastoin: laillinen profiili ei tee epävirallisesta asiakasohjelmasta luotettavaa. Vahvista jokainen objekti omaa lähdettään vasten äläkä koskaan anna toimivan yhteyden sulauttaa kahta tarkistusta yhdeksi.

Kysy ennen toimimista, kumpi kahdesta objektista on todella kyseenalainen, koska korjauskeino eroaa. Huono asiakasohjelma tarkoittaa uudelleenasennusta, kun taas huono profiili tarkoittaa yhden tiedoston poistamista ja sen myöntämistä uudelleen.

Toimi epävarmuudessa ja siivoa sitten kunnolla

Jos identiteetti jää epävarmaksi, lopeta tunnistetietojen antaminen ja hanki ohjelmisto itsenäisesti vahvistetun kanavan kautta, jonka merkitsit kirjanmerkiksi. Noudata alustan ohjeita ei-toivotuista sovelluksista sen sijaan, että poistaisit kansion ja toivoisit. Kirjaa sitten hyväksymäsi julkaisija, versio ja vahvistusmenetelmä, jotta seuraavaa päivitystä voidaan verrata tosiasiaan eikä muistiin.

Laillisen korvauksen jälkeen käy vanhat profiilit ja käyttöoikeusmyönnytykset läpi sekä asiakasohjelmassa että käyttöjärjestelmässä. Ladatun tiedoston asennuksen poistaminen jättää asennetun sovelluksen paikalleen, ja vanha profiili voi elää pidempään kuin sen luonut asiakasohjelma, samalla kun se osoittaa edelleen päätepisteeseen, jota kukaan ei ylläpidä. WireGuarding virallinen asennussivu on hyvä esimerkki sellaisesta viitteestä, joka kannattaa pitää: se on kehittäjän oma luettelo, ei peilipalvelin.