Instalador de VPN desde un espello? Comprobe primeiro o editor

O túnel funcionou, a interface apareceu e a sesión mantívose estable durante unha semana. Nada diso lle di quen construíu o instalador. Un cliente VPN execútase con privilexios suficientes para reescribir rutas e ler credenciais, así que o editor forma parte do modelo de ameazas, non é unha nota ao pé.

Faga as comprobacións en orde e detéñase na primeira que falle. Son baratas e cada unha pecha unha fenda distinta.

Primeiro paso: Descargue da canle que o proxecto nomea

Cada proxecto documenta onde viven as súas versións, e esa páxina é a referencia. As compilacións comunitarias, as fichas das tendas e os portais de provedores son todas canles lexítimas. Cada unha é lexítima só cando o propio proxecto apunta a ela. Esa é a proba, e non é o mesmo que parecer oficial.

Un ficheiro co nome do proxecto non demostra nada. Cambiar o nome dun instalador é unha operación dun segundo, e o nome é o primeiro que mostra un resultado de busca.

Segundo paso: Verifique a sinatura contra unha identidade coñecida

A verificación de sinatura responde ben a unha pregunta estreita. Dille que unha identidade concreta asinou este binario e que o binario non cambiou desde entón. Responde unha pregunta e rexeita outra. Non pode dicirlle se esa identidade é a que vostede quería confiar.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Lea a identidade, non a palabra de estado. Un desenvolvedor alleo cun certificado válido produce unha sinatura válida. Un sistema operativo que informa dun editor recoñecido só lle dixo que alguén pagou por un certificado.

Terceiro paso: Compare o hash cunha fonte independente

Unha suma de verificación demostra a coincidencia cun valor de referencia. Se a referencia chegou xunto á descarga, ambas poden estar mal á vez e a comparación aínda pasa. Ese é o modo de fallo na maioría dos titoriais. O hash está na mesma páxina que o ficheiro que describe.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Cando un proxecto publica sumas de verificación asinadas ou un manifesto de versión asinado, verifique a sinatura sobre a lista en lugar de cada ficheiro por separado. Así unha referencia de confianza cobre toda a versión.

Despois da instalación: Manteña a ruta de actualización

Unha canle con soporte segue importando despois de que remate a instalación. As compilacións reempaquetadas poden traer o seu propio actualizador, e ese actualizador decide que se executa o mes que vén. Unha compilación que nunca se actualiza non é máis segura. Simplemente é máis antiga.

Anote como se supón que debe actualizarse o cliente e se un sistema de xestión se encarga dese paso. Se a resposta é unha descarga manual dun foro, a pregunta da cadea de subministración nunca se pechou de verdade.

Dous orixes, non un

O desenvolvedor do cliente e o emisor do perfil son partes separadas. Un cliente oficial que importa un perfil dun operador alleo é un arranxo normal, e o perfil merece a súa propia revisión: quen o emitiu, como se entregou e se o certificado do servidor coincide co nome que espera.

Manteña ambos os dous orixes identificables nas súas notas. No momento en que se substitúe un cliente ou se restaura un dispositivo desde unha copia de seguridade, esas dúas liñas son o que impide que unha compilación descoñecida ou un perfil descoñecido volvan co resto dos datos.