Installateur du portail VPN : paquet, profil ou reconstruction ?

Le bouton de téléchargement d’un portail VPN renvoie exactement un fichier, et ce fichier peut être deux choses très différentes : un installateur standard du fournisseur accompagné d’un profil de configuration, ou une compilation que l’organisation a assemblée elle-même. La page est identique dans les deux cas, le bouton ne peut donc pas vous dire lequel vous avez. Trois questions se cachent derrière : qui a publié l’exécutable, quelle configuration l’installation écrit et qui la répare quand la prochaine version du client arrive. Vous répondez à la première avec les métadonnées de l’artefact, à la deuxième avec le contenu du paquet, et à la troisième uniquement avec l’équipe qui possède le déploiement.

Le cadenas du navigateur couvre le transfert, pas l’artefact.

Ce que le point de téléchargement renvoie réellement

La plupart des portails confient une demande de téléchargement à un petit gestionnaire qui soit diffuse un fichier stocké, soit assemble un fichier à la volée, puis fixe un nom de fichier et un type de contenu avant que la réponse ne parte. Ce qui arrive est un conteneur : un MSI, un PKG, un DEB ou un RPM, ou un emballage auto-extractible autour de l’un d’eux. À l’intérieur se trouve le binaire du client, et rien dans le nom du fichier ne dit de façon fiable si ce binaire vient du fournisseur ou d’une chaîne de compilation interne. Un fichier nommé client-setup.exe enregistre une décision de nommage, pas un fait de provenance.

Comparez les octets téléchargés à la somme de contrôle publiée par le fournisseur. Une divergence ne prouve pas la malveillance ; elle prouve que le fichier n’est pas la compilation du fournisseur, et c’est la distinction qui mérite une action.

Où le profil entre dans le client

Les réglages préremplis voyagent généralement dans un fichier séparé que l’installateur copie vers un chemin par utilisateur ou par machine : un profil JSON ou XML sous Windows, un profil de configuration sous macOS, un fragment sous /etc , sous Linux. Les valeurs de ce fichier — noms d’hôte de la passerelle, ancres de confiance, parfois du matériel d’enrôlement — deviennent les valeurs par défaut du client au premier lancement. C’est pourquoi un seul téléchargement peut porter des secrets autant que du code.

Demandez ce que le chemin de mise à jour fait du profil. Selon l’empaquetage, il peut survivre à une mise à jour du client, être écrasé par elle ou échouer à la validation du schéma dans la nouvelle version.

Ce que la chaîne de signature ne prouve pas

La signature de code lie l’identité d’un éditeur à un hash de fichier, et sous Windows l’horodatage Authenticode permet à une signature de survivre au certificat qui l’a créée. Un résultat valide répond à deux questions : quel éditeur a signé ces octets, et s’ils ont changé ensuite. Il n’énumère ni les services de l’installateur, ni les écritures de registre, ni les pilotes inclus, et il ne décide pas si cet éditeur doit être approuvé ici. La documentation Authenticode de Microsoft décrit le mécanisme et est explicite sur cette portée étroite.

L’authentification du portail répond à une troisième question : que la session a atteint le serveur prévu. Trois contrôles différents, trois modes de défaillance différents.

Vérifiez l’artefact avant que quiconque l’exécute

Placez le fichier sur une machine isolée et lisez ses métadonnées avant d’exécuter quoi que ce soit. Ces commandes répondent à la question de l’éditeur sur les trois principales plateformes.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Lisez le sujet du signataire plutôt que le seul mot d’état. Une autorité de certification interne qui signe une compilation interne est attendue ; le même certificat sur un paquet qui prétend être la version du fournisseur ne l’est pas.

Pour un paquet contenant uniquement un profil, ouvrez l’archive et traitez chaque nom d’hôte et clé intégrés comme des données dont il faut rendre compte. Si le profil contient quelque chose de réutilisable, la distribution par le portail en fait un secret partagé avec un calendrier de déploiement.

Établir la propriété avant le déploiement

La dernière question n’a aucune commande derrière elle. Découvrez qui met à jour l’artefact lorsque le fournisseur livre un nouveau client, qui détient la clé de signature d’une compilation interne et comment le profil est renouvelé lorsqu’un point de terminaison se déplace. Écrivez ces noms à côté du lien de téléchargement.

Si personne ne possède cette réponse, le téléchargement est un canal de distribution sans contrat de maintenance, et c’est la conclusion qui mérite d’être signalée.