Cette application VPN est-elle la version officielle ou une imitation ?

Un logiciel d’imitation copie les noms, les icônes et les captures d’écran, et il se connecte assez bien pour paraître convaincant. Que le tunnel fonctionne ne prouve rien, car la question est de savoir qui a écrit le binaire. Traitez cela comme un contrôle d’identité et non comme un audit de sécurité, et prenez chaque valeur de référence dans un canal que vous avez choisi, pas sur la page de l’application elle-même. Cinq contrôles suivent, et chacun peut échouer alors que les autres passent. Faites-les dans l’ordre, car un contrôle ultérieur ne peut pas sauver un contrôle antérieur.

Obtenez vos valeurs de référence dans un canal que vous avez choisi

Ouvrez les instructions de téléchargement officielles du projet, ou le canal logiciel administré de votre organisation, avant de regarder ce qui est installé. Notez l’éditeur attendu sur la boutique, l’identité du paquet ou de l’installateur et les plateformes prises en charge, puis conservez cette note là où vous la retrouverez à la prochaine mise à jour. Un résultat de recherche ou un placement sponsorisé n’est pas ce canal, et le placement payant se trouve au-dessus du résultat organique précisément parce que les gens cliquent sur la première correspondance. Mettez la page en favori une fois vérifiée, afin que le prochain téléchargement parte d’une décision et non d’une recherche répétée.

Un miroir ou un dépôt de paquets tiers est aussi un canal, et il n’est fiable que dans la mesure où son opérateur l’est. Notez lequel vous avez utilisé, car c’est ce détail que les gens oublient entre deux mises à jour.

Comparez l’éditeur installé, pas le nom

Appuyez-vous sur les registres de signatures et d’applications de la plateforme lorsqu’ils existent, puis lisez la version, le canal de mise à jour et les autorisations demandées par l’application. Repérer une signature valide n’est pas la même chose que repérer l’éditeur que vous attendiez, car un certificat atteste seulement qu’un binaire a été signé par celui qui le détient. Une signature provenant d’une entreprise dont vous n’avez jamais entendu parler reste une signature valide, et c’est pourquoi le test doit nommer la partie que vous visiez. Un installateur qui embarque des logiciels supplémentaires, demande un certificat ou ouvre une invite de compte que vous n’attendiez pas, a besoin d’une explication tirée de la documentation du produit lui-même.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Exécutez le contrôle correspondant à la plateforme et comparez sa sortie avec la note de référence établie à la première étape. Une divergence dans le champ de l’éditeur est plus instructive que n’importe quel degré de ressemblance visuelle, car une icône ne coûte rien à copier. Si la sortie nomme une organisation qui n’apparaît nulle part dans la documentation du projet, arrêtez-vous là et ne vous connectez pas.

Ce que la signature installée prouve réellement

Lorsqu’un projet publie des sommes de contrôle, des signatures ou des clés de version, suivez toute la procédure qu’il documente, y compris la partie sur l’obtention de la clé de référence. Une somme de contrôle imprimée sur la même page que le téléchargement ne prouve que la conformité du fichier à cette page, ce qui est une affirmation plus faible qu’il n’y paraît. La question utile est de savoir si la signature remonte à l’identité documentée par le projet, par un chemin que l’imitation ne contrôle pas. C’est l’étape que les gens abrègent en « le fichier a-t-il une signature, oui ou non ».

Une clé récupérée sur un serveur de clés et une empreinte imprimée dans un README ne sont pas des preuves équivalentes. Décidez laquelle vous avez réellement utilisée avant de qualifier le fichier de vérifié.

Quand l’application est authentique mais le profil ne l’est pas

Un client et un profil serveur viennent de deux émetteurs différents, et les confondre est un échec distinct de l’installation du mauvais binaire. Une version d’OpenVPN maintenue par un projet chargera volontiers une configuration écrite par un opérateur sans rapport, et c’est un comportement normal et non une preuve de compromission. L’inverse est vrai aussi : un profil légitime ne rend pas un client non officiel digne de confiance. Vérifiez chaque objet par rapport à sa propre source, et ne laissez jamais une connexion fonctionnelle fusionner deux contrôles en un seul.

Demandez lequel des deux objets est réellement en doute avant d’agir, car le remède diffère. Un mauvais client signifie une réinstallation, tandis qu’un mauvais profil signifie supprimer un fichier et le réémettre.

Agissez face à l’incertitude, puis nettoyez correctement

Si l’identité reste incertaine, cessez de fournir des identifiants et obtenez le logiciel de façon indépendante via le canal vérifié que vous avez mis en favori. Suivez les recommandations de la plateforme pour les applications indésirables au lieu de supprimer un dossier en espérant que cela suffise. Notez ensuite l’éditeur, la version et la méthode de vérification que vous avez acceptés, afin que la prochaine mise à jour puisse être comparée à un fait plutôt qu’à un souvenir.

Après un remplacement légitime, passez en revue les anciens profils et les autorisations accordées, à la fois dans le client et dans le système d’exploitation. Désinstaller le fichier téléchargé laisse l’application installée en place, et un ancien profil peut survivre au client qui l’a créé tout en pointant encore vers un point de terminaison que personne ne maintient. La page d’installation officielle de WireGuard est un bon exemple du type de référence qu’il vaut la peine de conserver : c’est la liste du développeur lui-même et non un miroir.