VPN-portaalynstallearder: pakket, profyl of werbou?

De downloadknop fan in VPN-portaal jout krekt ien bestân werom, en dat bestân kin twa hiel ferskillende dingen wêze: in klearmakke ynstallearder fan de leveransier mei in konfiguraasjeprofyl dat derneist reizget, of in bou dy't de organisaasje sels gearstald hat. De side sjocht der yn beide gefallen itselde út, dat de knop kin dy net fertelle hokker fan de twa do hast. Der efter steane trije fragen — wa't it útfierbere bestân publisearre hat, hokker konfiguraasje de ynstallaasje skriuwt, en wa't it reparearret as de folgjende klantferzje komt. De earste beäntwurdest út 'e metadata fan it artefakt, de twadde út 'e ynhâld fan it pakket, en de tredde allinnich út it team dat it útrôl besit.

It slot fan de browser dekt de oerdracht, net it artefakt.

Wat it download-einpunt eins weromjout

De measte portalen jouwe in downloadfersyk oan in lytse handler dy't of in bewarre bestân streamt of der ien op it stuit gearstalt, en dan in bestânsnamme en in ynhâldstype set foar't it antwurd fuortgiet. Wat oankomt is in kontener: in MSI, in PKG, in DEB of RPM, of in selsútpakkende wikkel om ien fan dy. Binnen sit it binaire bestân fan de klant, en neat yn 'e bestânsnamme seit betrouber oft dat binaire bestân fan de leveransier of fan in ynterne boupipeline kaam. In bestân mei de namme client-setup.exe registrearret in nammebeslút, net in feit oer komôf.

Fergelykje de downloadde bytes mei de publisearre kontrôlesom fan de leveransier. In ferskil bewiist gjin kweawilligens; it bewiist dat it bestân net de bou fan de leveransier is, en dat is it ûnderskie dêr't it wurdich is om op te hanneljen.

Wêr't it profyl yn 'e klant komt

Foarôf ynfolde ynstellingen reizgje meastentiids as in apart bestân dat de ynstallearder nei in paad per brûker of per masine kopiearret: in JSON- of XML-profyl op Windows, in konfiguraasjeprofyl op macOS, in fragmint ûnder /etc op Linux. De wearden yn dat bestân — hostnammen fan 'e gateway, fertrouwensankers, soms registraasjemateriaal — wurde de standertwearden fan de klant by de earste start. Dêrom kin ien download sawol geheimen as koade drage.

Freegje wat it opwurdearringspaad mei it profyl docht. Ofhinklik fan 'e ferpakking kin it in klantfernijing oerlibje, dêrtroch oerskreaun wurde, of skemaferifikaasje yn 'e nije ferzje mislearje.

Wat de hantekeningkeatling net bewiist

Koade-ûndertekening bynt in útjouwersidentiteit oan in bestânshash, en op Windows lit de Authenticode-tiidstimpel in hantekening langer libje as it sertifikaat dat it makke hat. In jildich resultaat beantwurdet twa fragen: hokker útjouwer hat dizze bytes ûndertekene, en binne se dêrnei feroare. It listet de tsjinsten fan 'e ynstallearder, registerbeskriuwingen of meinommen stjoerprogramma's net op, en it beslút net oft dat útjouwer hjir fertroud wurde moat. Microsoft syn Authenticode-dokumintaasje beskriuwt it meganisme en is dúdlik oer dat smelle berik.

De portaalautentikaasje beantwurdet in tredde fraach: dat de sesje de bedoelde tsjinner berikt hat. Trije ferskillende kontrôles, trije ferskillende mislearringsmoaden.

Ferifiearje it artefakt foar't immen it draait

Set it bestân op in isolearre masine en lês syn metadata foar't do eat útfierst. Dizze opdrachten beantwurdzje de útjouwersfraach op de trije haadstreamplatfoarms.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Lês it ûnderwerp fan 'e ûndertekenjer ynstee fan allinich it statuswurd. In ynterne sertifikaatjefoech dy't in ynterne bou ûndertekenet is ferwachte; itselde sertifikaat op in pakket dat himsels as de útjefte fan 'e leveransier foardocht is dat net.

Foar in pakket mei allinnich in profyl, iepenje it argyf en behannelje elke ynbêde hostnamme en kaai as gegevens dêr't rekkenskip fan jûn wurde moat. As it profyl eat werbrûkbers befettet, makket portaalferdieling der in dield geheim fan mei in útrôlskema.

Eigenskip fêststelle foar de útrôl

Efter de lêste fraach stiet gjin opdracht. Fyn út wa't it artefakt bywurket as de leveransier in nije klant stjoert, wa't de ûndertekeningskaai foar in ynterne bou hat en hoe't it profyl rotearre wurdt as in einpunt ferskoot. Skriuw dy nammen njonken de downloadkeppeling.

As nimmen dat antwurd besit, is de download in distribúsjekanaal sûnder ûnderhâldskontrakt, en dat is de befinning dy't it wurdich is om te rapportearjen.