Is dy VPN-app de offisjele ferzje of in neimaksel?

Neimakke software kopiearret nammen, byldkaikes en skermôfbyldings, en hy ferbynt goed genôch om oertsjûgjend te lykjen. Dat de tunnel wurket is gjin bewiis foar wat dan ek, want de fraach is wa’t it binêre bestân skreaun hat. Behandelje dit as in identiteitskontrôle en net as in feiligensaudit, en nim elke referinsjewearde út in kanaal dat jo sels keazen hawwe, net fan de side fan de app sels. Fiif kontrôles folgje, en elk kin mislearje wylst de oaren slagje. Wurkje se yn folchoarder ôf, want in lettere kontrôle kin in eardere net rêde.

Krij jo referinsjewearden út in kanaal dat jo keazen hawwe

Iepenje de offisjele downloadynstruksjes fan it projekt, of it behearde softwarekanaal fan jo organisaasje, foardat jo sjogge wat ynstallearre is. Skriuw de ferwachte winkelútjouwer, de identiteit fan it pakket of de ynstallearder en de stipe platfoarms op, en bewarje dy notysje dêr’t jo him by de folgjende fernijing fine sille. In sykresultaat of in sponsore pleatsing is dat kanaal net, en de betelle pleatsing stiet boppe it organyske resultaat krekt om’t minsken op de earste treffer klikke. Set de side as blêdwizer sa gau as jo him ferifiearre hawwe, sadat de folgjende download by in beslút begjint en net by in werhelle syktocht.

In spegel of in pakketbewarplak fan tredden is ek in kanaal, en it is mar sa betrouber as syn operator. Skriuw op hokker jo brûkt hawwe, want dat detail is krekt wat minsken tusken fernijingen ferjitte.

Fergelykje de ynstallearre útjouwer, net de namme

Stypje op de eigen ûndertekenings- en applikaasjeregisters fan it platfoarm wêr’t se besteane, en lês dan de ferzje, it fernijingspaad en de tastimmingen dy’t de app frege hat. In jildige ûndertekening fernimme is net itselde as de útjouwer fernimme dy’t jo ferwachten, want in sertifikaat befêstiget allinnich dat in binêr bestân ûndertekene is troch wa’t it hat. In ûndertekening fan in bedriuw dêr’t jo noait fan heard hawwe is noch altyd in jildige ûndertekening, en dêrom moat de test de partij neame dy’t jo bedoelden. In ynstallearder dy’t ekstra software meinimt, freget in sertifikaat oan of iepenet in accountprompt dy’t jo net ferwachten, hat in ferklearring nedich út de eigen dokumintaasje fan it produkt.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Fier de kontrôle út dy’t by it platfoarm past, en fergelykje de útfier mei de referinsjenotysje dy’t jo yn de earste stap makke hawwe. In ôfwiking yn it fjild fan de útjouwer is ynformativer as hokker mjitte fan fisuele oerienkomst dan ek, want in byldkaike kostet neat om te kopiearjen. As de útfier in organisaasje neamt dy’t nearne yn de dokumintaasje fan it projekt foarkomt, stopje dan dêr en meld jo net oan.

Wat de ynstallearre ûndertekening eins bewiist

As in projekt kontrôlesommen, ûndertekeningen of frijlaatkaaien publisearret, wurkje dan de hiele proseduere troch dy’t it dokumintearret, ynklusyf it diel oer it krijen fan de referinsjekaai. In kontrôlesom dy’t op deselde side as de download printe is, bewiist allinnich dat it bestân by dy side past, wat in swakkere bewearing is as’t it liket. De nuttige fraach is oft de ûndertekening keatst oan de identiteit dy’t it projekt dokumintearret, fia in paad dat it neimaksel net beheart. Dat is de stap dy’t minsken ferkoartsje ta oft it bestân überhaupt in ûndertekening hat.

In kaai ophelle fan in kaaiserver en in fingerprint printe yn in README binne gjin lykweardige bewiizen. Beslis hokker jo eins brûkt hawwe foardat jo it bestân ferifiearre neame.

As de app echt is mar it profyl net

In klant en in serverprofyl komme fan twa ferskate útjowers, en se trochinoar helje is in aparte flater fan it ynstallearjen fan it ferkearde binêre bestân. In OpenVPN-bou dy’t troch ien projekt ûnderholden wurdt sil grif in konfiguraasje lade dy’t skreaun is troch in net besibbe operator, en dat is normaal gedrach en gjin bewiis fan kompromitaasje. It omkearde jildt ek: in legitym profyl makket in net-offisjele klant net betrouber. Ferifiearje elk objekt tsjin syn eigen boarne, en lit nea ta dat in wurkjende ferbining twa kontrôles yn ien gearfettet.

Freegje hokker fan de twa objekten eins yn twifel is foardat jo hannelje, want it middel ferskilt. In minne klant betsjut opnij ynstallearje, wylst in min profyl betsjut ien bestân wiskje en it opnij útjaan.

Hannelje by ûnwissens, en romje dan goed op

As de identiteit ûnwis bliuwt, stopje dan mei it jaan fan oanmeldgegevens en krij de software selsstannich fia it ferifiearre kanaal dat jo as blêdwizer set hawwe. Folgje de lieding fan it platfoarm oer net winske applikaasjes ynstee fan in map te wiskjen en te hoopjen. Skriuw dan de útjouwer, ferzje en ferifikaasjemetoade op dy’t jo akseptearre hawwe, sadat de folgjende fernijing mei in feit fergelike wurde kin en net mei it ûnthâld.

Nei in legitime ferfanging, rin de âlde profilen en tastimmingen nei yn sawol de klant as it bestjoeringssysteem. It de-ynstallearjen fan it downloade bestân lit de ynstallearre applikaasje stean, en in âld profyl kin de klant oerlibje dy’t it makke hat wylst it noch altyd nei in einpunt wiist dat nimmen ûnderhâldt. De offisjele ynstallaasjeside fan WireGuard is in goed foarbyld fan it soarte referinsje dat de muoite wurdich is om te hâlden: it is de eigen list fan de ûntwikkelder en net in spegel.