ઓપન સોર્સ VPN ક્લાયન્ટ: કોડ શું સાબિત કરે છે અને શું નહીં
જાહેર રિપોઝિટરી સ્રોત કોડ વિશે પુરાવો છે, તમે ઇન્સ્ટોલ કરેલા બિલ્ડ વિશે નહીં અથવા તેની પાછળના સર્વર વિશે નહીં. રિલીઝને મેળવો, પછી સમીક્ષાને વિસ્તૃત કરો.
સ્રોત પ્રકાશિત થયો છે, લાઇસન્સ સ્વચ્છ છે, અને કનેક્શન હજી પણ શરૂઆતથી અંત સુધી ચકાસી શકાતું નથી. એ અંતર સામાન્ય છે, અને તે કોઈ કૌભાંડ નથી. કોડ પ્રકાશિત કરવાથી એક ઘટક એવા લોકો માટે નિરીક્ષણયોગ્ય બને છે જેમને આમંત્રણ આપવામાં આવ્યું ન હતું, અને તે વાસ્તવિક અને અસામાન્ય ગુણધર્મ છે. એથી એ અનુમાન નથી કે તમે ઇન્સ્ટોલ કરેલી બાઇનરી એ કોડમાંથી આવે છે, અથવા પ્રદાતા બીજી બાજુ જે કંઈ ચલાવે છે તેમાંથી કંઈપણ જ નિરીક્ષણ કરવામાં આવ્યું છે.
ઘટકને ઉત્પાદનથી અલગ કરો
ચાર વસ્તુઓ ઓપન સોર્સ લેબલ ધરી શકે છે, અને તે બધી ભાગ્યે જ ખુલ્લી હોય છે. ક્લાયન્ટ એપ્લિકેશન એ છે જે લોકો કહે છે. તેની નીચેનું પ્રોટોકોલ અમલીકરણ બીજું કલાકૃતિ છે, ક્યારેક લાઇબ્રેરી અને ક્યારેક ટ્રીમાંનો કોડ. સર્વર સૉફ્ટવેર ત્રીજું છે, અને પ્રદાતાનું પોતાનું ઇન્ફ્રાસ્ટ્રક્ચર, એકાઉન્ટ પોર્ટલ અને સપોર્ટ સાધનો ચોથું છે. દરેક સ્વતંત્ર રીતે ખુલ્લું કે બંધ હોઈ શકે છે.
તેથી "અમારી એપ ઓપન સોર્સ છે" જેવા નિવેદનો પ્રથમ વસ્તુનું વર્ણન કરે છે અને બાકીનાને અસંબોધિત રાખે છે, જે અપ્રામાણિકતા નથી પણ વધુ શ્રેણીની ઘસારો છે. ઉપયોગી પ્રશ્ન એ છે કે કઈ રિપોઝિટરી, કઈ ટેગ પર, તમે આધાર રાખો છો તે ઘટકને અનુરૂપ છે.
એ ભેદ એ પણ સમજાવે છે કે સમાન ખુલ્લા ક્લાયન્ટ ધરાવતા બે ઉત્પાદનો ખૂબ જ અલગ ખાતરી કેમ આપી શકે છે. ક્લાયન્ટ એ ભાગ છે જે તમે ચકાસી શકો છો; ઓપરેટરનું વર્તન એ ભાગ છે જે તમારે બીજા માધ્યમોથી મૂલ્યાંકન કરવું પડે છે.
ઇન્સ્ટોલ કરેલા બિલ્ડને પ્રકાશિત ટેગ સાથે મેળવો
રિપોઝિટરી એ ઇરાદાનો રેકોર્ડ છે; તમારી ડિસ્ક પરની બાઇનરી એ છે જે ચાલે છે. એ અંતર બંધ કરવું યાંત્રિક કસરત છે, અને તે ખરેખર શું ઇન્સ્ટોલ થયું છે તે ઓળખવાથી શરૂ થાય છે, ડાઉનલોડ પૃષ્ઠે જે જાહેરાત કરી હતી તેનાથી નહીં.
| Component | What inspection can show | What it leaves untouched |
|---|---|---|
| Client source | How profiles, packets and optional telemetry are handled | Whether the shipped binary matches that source |
| Build output | Whether a declared build reproduces a matching artefact | Whether the source is correct or the toolchain is clean |
| Server software | What the implementation is capable of logging | What the operator actually configures and retains |
| Account and support systems | Almost nothing, unless they are separately published | Everything about how those systems treat your data |
પેકેજ મેટાડેટા તમને સંસ્કરણ અને મૂળ જણાવે છે, જે જૂનું કે બદલાયેલું પેકેજ એવા સાદા કિસ્સાને બાકાત કરે છે. તે તમને જણાવતું નથી કે એ પેકેજ કેવી રીતે કમ્પાઇલ થયું, અને તે જ પ્રશ્નનો જવાબ આપવા પુનરુત્પાદનયોગ્ય બિલ્ડ અસ્તિત્વમાં છે. પુનરુત્પાદનયોગ્ય બિલ્ડ સ્વતંત્ર પક્ષને એક જ સ્રોતમાંથી ફરી બનાવવા અને પરિણામને બાઇટ દ્વારા બાઇટ સરખાવવા દે છે, જેથી અસંગતિ શંકાને બદલે પુરાવો બને છે.
પરફેક્ટ મેળ પણ લોકો જેટલી આશા રાખે તેનાથી ઓછું સાબિત કરે છે. તે બતાવે છે કે કલાકૃતિ સ્રોત અને બિલ્ડ રેસિપી સાથે મેળ ખાય છે, એ નહીં કે સ્રોત દોષમુક્ત છે, અને એ નહીં કે વપરાયેલી ટૂલચેન વિશ્વસનીય હતી. બંને જાણવા લાયક છે, પરંતુ તે અલગ દાવા છે.
dpkg -S /usr/bin/wg
apt-cache policy wireguard-tools
sha256sum /usr/bin/wgલક્ષણ સામાન્ય રીતે ક્યાંથી શરૂ થાય છે
આ વાંચનને પ્રેરતી ફરિયાદ ભાગ્યે જ "કોડ બંધ છે" હોય છે. તે સામાન્ય રીતે ચોક્કસ અવલોકન હોય છે: અણધાર્યા સ્થળે ફોન કરતો ક્લાયન્ટ, રિલીઝ નોંધથી અલગ સંસ્કરણ, અથવા ટનલને જરૂર પડે તેનાથી વધુ માંગતી સપોર્ટ પ્રક્રિયા. એમાંનું દરેક અલગ ઘટક તરફ ઇશારો કરે છે.
ક્લાયન્ટમાંથી અણધાર્યો નેટવર્ક ટ્રાફિક ક્લાયન્ટ સ્રોતનો પ્રશ્ન છે, અને કનેક્શન ખોલતો કોડ પાથ વાંચીને તેનો જવાબ આપી શકાય છે. સંસ્કરણની અસંગતિ પેકેજિંગનો પ્રશ્ન છે. ઓળખ દસ્તાવેજ માંગતી સપોર્ટ પ્રક્રિયા એકાઉન્ટ સિસ્ટમનો પ્રશ્ન છે, અને કોઈ પણ ક્લાયન્ટ ઓડિટ તેને ઉકેલશે નહીં.
ઘટકને નામ આપવું અસ્પષ્ટ અવિશ્વાસને ચોક્કસ ચકાસણીમાં ફેરવે છે. ચોક્કસ ચકાસણીનો જવાબ આપી શકાય, તેની સાથે દલીલ કરી શકાય અથવા તેને બંધ કરી શકાય. વિકલ્પ એ છે કે આગળના પગલા વિનાની કાયમી શંકા.
સમીક્ષા શું સુધી પહોંચી શકતી નથી, અને તેના બદલે શું કરવું
પ્રદાતાના સર્વર પર જાળવણી ક્લાયન્ટની પહોંચની બહાર છે. બિલિંગ પોર્ટલ, છેતરપિંડી-ચકાસણી વેન્ડર અથવા જોડાણો રાખતી સપોર્ટ ડેસ્કનું વર્તન પણ એવું જ છે. "અમે સેવાનું ઓડિટ કર્યું" સુધી ખેંચાયેલી ક્લાયન્ટ સમીક્ષા એવો દાવો કરે છે જેને પુરાવો ટેકો આપતા નથી.
ઓપરેટર જાળવણી અને વિનંતીઓ વિશે શું પ્રકાશિત કરે છે તે વાંચો, તારીખ નોંધો, અને તેને માપ તરીકે નહીં પરંતુ હિતધારક પક્ષના નિવેદન તરીકે લો. તે પુરાવાનું નબળું સ્વરૂપ છે, અને ફરી કહેતી વખતે તેને ઉન્નત કરવા કરતાં તફાવત સ્પષ્ટ કહેવો વધુ ઉપયોગી છે.
પછી તમારી પાસે જે છે તેને ઘણા ઇનપુટમાંના એક તરીકે વાપરો: ઇન્સ્ટોલ કરેલી રિલીઝની ઓળખ, સૉફ્ટવેર જાળવવામાં આવે છે કે નહીં, ક્લાયન્ટ કેવી રીતે ગોઠવાયેલો છે, અને ઓપરેટર તેની પોતાની સિસ્ટમ વિશે શું કહે છે. ઓપન કોડ એ મૂલ્યાંકનને એક બિંદુએ મજબૂત કરે છે. તે બાકીનાનું સ્થાન લેતું નથી.
ઓડિટના દાવામાં હંમેશા તેના ઘટકો અને સંસ્કરણોના નામ હોવા જોઈએ. જો અહેવાલ એ કહી શકતો ન હોય કે તેણે કઈ રિપોઝિટરી અને કયું બિલ્ડ તપાસ્યું, તો તે ઉત્પાદન નહીં પણ ઇરાદાનું વર્ણન કરે છે.