Esa aplicación VPN é a compilación oficial ou unha imitación?

O software imitador copia nomes, iconas e capturas de pantalla, e conéctase o suficiente como para parecer convincente. Que o túnel funcione non é proba de nada, porque a pregunta é quen escribiu o binario. Tráteo como unha comprobación de identidade e non como unha auditoría de seguridade, e tome cada valor de referencia dunha canle que escollese vostede, non da páxina da propia aplicación. A continuación hai cinco comprobacións, e cada unha pode fallar mentres as demais pasan. Fágaas en orde, porque unha comprobación posterior non pode rescatar unha anterior.

Obteña os seus valores de referencia dunha canle que escollese

Abra as instrucións oficiais de descarga do proxecto, ou a canle de software xestionado da súa organización, antes de mirar que está instalado. Anote o editor esperado da tenda, a identidade do paquete ou do instalador e as plataformas compatibles, e garde esa nota onde a atope na próxima actualización. Un resultado de busca ou unha posición patrocinada non é esa canle, e a posición de pago está por riba do resultado orgánico precisamente porque a xente fai clic na primeira coincidencia. Marque a páxina como favorita unha vez verificada, para que a próxima descarga comece cunha decisión e non cunha busca repetida.

Un espello ou un repositorio de paquetes de terceiros tamén é unha canle, e só é tan fiable como o seu operador. Anote cal utilizou, porque ese detalle é o que a xente esquece entre actualizacións.

Compare o editor instalado, non o nome

Apóiase nos rexistros propios de sinaturas e aplicacións da plataforma cando existan, e despois lea a versión, a ruta de actualización e os permisos que solicitou a aplicación. Detectar unha sinatura válida non é o mesmo que detectar o editor que agardaba, porque un certificado só acredita que un binario foi asinado por quen o posúe. Unha sinatura dunha empresa da que nunca oíu falar segue sendo unha sinatura válida, e por iso a proba debe nomear a parte que vostede quería dicir. Un instalador que inclúe software adicional, solicita un certificado ou abre un aviso de conta que non agardaba, necesita unha explicación da documentación do propio produto.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Execute a comprobación que corresponda á plataforma e compare a súa saída coa nota de referencia que fixo no primeiro paso. Unha discrepancia no campo do editor é máis informativa que calquera grao de parecido visual, porque unha icona non custa nada copiar. Se a saída nomea unha organización que non aparece en ningún lugar da documentación do proxecto, detéñase alí e non inicie sesión.

Que demostra realmente a sinatura instalada

Cando un proxecto publica sumas de comprobación, sinaturas ou claves de versión, percorra todo o procedemento que documenta, incluída a parte de obter a clave de referencia. Unha suma de comprobación impresa na mesma páxina que a descarga só demostra que o ficheiro coincide con esa páxina, o que é unha afirmación máis feble do que parece. A pregunta útil é se a sinatura encadea coa identidade que documenta o proxecto, a través dunha ruta que a imitación non controla. Este é o paso que a xente abrevia a se o ficheiro ten ou non algunha sinatura.

Unha clave obtida dun servidor de claves e unha pegada impresa nun README non son probas equivalentes. Decida cal utilizou realmente antes de cualificar o ficheiro como verificado.

Cando a aplicación é auténtica pero o perfil non

Un cliente e un perfil de servidor proveñen de dous emisores distintos, e confundilos é un fallo distinto do de instalar o binario equivocado. Unha compilación de OpenVPN mantida por un proxecto cargará sen problema unha configuración escrita por un operador alleo, e iso é un comportamento normal e non unha proba de compromiso. O contrario tamén vale: un perfil lexítimo non fai fiable un cliente non oficial. Verifique cada obxecto contra a súa propia fonte e non deixe nunca que unha conexión funcional fusione dúas comprobacións nunha.

Pregunte cal dos dous obxectos está realmente en dúbida antes de actuar, porque a solución é distinta. Un cliente malo significa reinstalar, mentres que un perfil malo significa borrar un ficheiro e volvelo emitir.

Actúe ante a dúbida e despois limpe ben

Se a identidade segue sendo incerta, deixe de proporcionar credenciais e obteña o software de forma independente a través da canle verificada que gardou en favoritos. Siga as indicacións da plataforma sobre aplicacións non desexadas en lugar de borrar un cartafol e esperar. Despois anote o editor, a versión e o método de verificación que aceptou, para que a próxima actualización se poida comparar cun feito e non coa memoria.

Tras unha substitución lexítima, revise os perfís antigos e as concesións de permisos tanto no cliente como no sistema operativo. Desinstalar o ficheiro descargado deixa a aplicación instalada no seu sitio, e un perfil antigo pode sobrevivir ao cliente que o creou mentres segue apuntando a un punto final que ninguén mantén. A páxina oficial de instalación de WireGuard é un bo exemplo do tipo de referencia que paga a pena conservar: é a lista do propio desenvolvedor e non un espello.