क्या वह VPN ऐप आधिकारिक बिल्ड है या नकल?

नकल करने वाला सॉफ़्टवेयर नाम, आइकन और स्क्रीनशॉट कॉपी करता है, और इतना अच्छा कनेक्ट होता है कि विश्वसनीय लगे। टनल का चलना किसी बात का सबूत नहीं है, क्योंकि सवाल यह है कि बाइनरी किसने लिखी। इसे सुरक्षा समीक्षा नहीं, पहचान जाँच मानें, और हर संदर्भ मान उस चैनल से लें जो आपने चुना हो, ऐप के अपने पृष्ठ से नहीं। आगे पाँच जाँचें हैं, और हर एक विफल हो सकती है जबकि बाकी पास हों। इन्हें क्रम से करें, क्योंकि बाद की जाँच पहले की भरपाई नहीं कर सकती।

अपने संदर्भ मान उस चैनल से लें जो आपने चुना है

यह देखने से पहले कि क्या इंस्टॉल है, प्रोजेक्ट के आधिकारिक डाउनलोड निर्देश या अपने संगठन का प्रबंधित सॉफ़्टवेयर चैनल खोलें। अपेक्षित स्टोर प्रकाशक, पैकेज या इंस्टॉलर की पहचान और समर्थित प्लेटफ़ॉर्म लिखें, फिर उस नोट को वहाँ रखें जहाँ अगले अपडेट पर आपको मिले। खोज परिणाम या प्रायोजित स्थान वह चैनल नहीं है, और भुगतान वाला स्थान जैविक परिणाम के ऊपर इसलिए होता है क्योंकि लोग पहले मेल पर क्लिक करते हैं। सत्यापित करने के बाद पृष्ठ को बुकमार्क करें, ताकि अगला डाउनलोड बार-बार खोज से नहीं, किसी निर्णय से शुरू हो।

मिरर या तीसरे पक्ष का पैकेज रिपॉज़िटरी भी एक चैनल है, और यह उतना ही भरोसेमंद है जितना उसका संचालक। लिखें कि आपने कौन सा इस्तेमाल किया, क्योंकि अपडेट के बीच लोग ठीक यही ब्यौरा भूलते हैं।

नाम नहीं, इंस्टॉल किए गए प्रकाशक की तुलना करें

जहाँ मौजूद हों वहाँ प्लेटफ़ॉर्म के अपने हस्ताक्षर और एप्लिकेशन रिकॉर्ड पर निर्भर रहें, फिर संस्करण, अपडेट पथ और ऐप द्वारा माँगी गई अनुमतियाँ पढ़ें। वैध हस्ताक्षर देखना उस प्रकाशक को देखने के बराबर नहीं है जिसकी आपने अपेक्षा की थी, क्योंकि प्रमाणपत्र केवल यह प्रमाणित करता है कि बाइनरी पर उसने हस्ताक्षर किए जो उसका स्वामी है। ऐसी कंपनी का हस्ताक्षर जिसका नाम आपने कभी नहीं सुना, फिर भी वैध हस्ताक्षर है, इसलिए जाँच को वह पक्ष नामित करना चाहिए जिसका आपने अर्थ लिया था। अतिरिक्त सॉफ़्टवेयर साथ लाने वाला इंस्टॉलर, प्रमाणपत्र माँगता है या ऐसा खाता संकेत खोलता है जिसकी आपको अपेक्षा नहीं थी, उत्पाद के अपने दस्तावेज़ से स्पष्टीकरण माँगता है।

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

प्लेटफ़ॉर्म से मेल खाती जाँच चलाएँ, और उसके आउटपुट की तुलना पहले चरण में बनाए गए संदर्भ नोट से करें। प्रकाशक क्षेत्र में असंगति किसी भी दृश्य समानता से अधिक जानकारी देती है, क्योंकि आइकन कॉपी करने में कुछ खर्च नहीं होता। यदि आउटपुट ऐसे संगठन का नाम लेता है जो प्रोजेक्ट के दस्तावेज़ में कहीं नहीं है, तो वहीं रुकें और साइन इन न करें।

इंस्टॉल किया गया हस्ताक्षर वास्तव में क्या साबित करता है

जब कोई प्रोजेक्ट चेकसम, हस्ताक्षर या रिलीज़ कुंजियाँ प्रकाशित करता है, तो उसकी पूरी दस्तावेज़ित प्रक्रिया करें, जिसमें संदर्भ कुंजी प्राप्त करने वाला भाग भी शामिल है। डाउनलोड के साथ उसी पृष्ठ पर छपा चेकसम केवल यह साबित करता है कि फ़ाइल उस पृष्ठ से मेल खाती है, जो दिखने से कमज़ोर दावा है। उपयोगी सवाल यह है कि क्या हस्ताक्षर प्रोजेक्ट द्वारा दस्तावेज़ित पहचान तक श्रृंखलाबद्ध है, ऐसे पथ से जिसे नकल नियंत्रित नहीं करती। लोग इसी चरण को छोटा करके यह पूछते हैं कि फ़ाइल में हस्ताक्षर है या नहीं।

कुंजी सर्वर से ली गई कुंजी और README में छपी फ़िंगरप्रिंट समान सबूत नहीं हैं। फ़ाइल को सत्यापित कहने से पहले तय करें कि आपने वास्तव में कौन सी इस्तेमाल की।

जब ऐप असली है पर प्रोफ़ाइल नहीं

क्लाइंट और सर्वर प्रोफ़ाइल दो अलग जारीकर्ताओं से आते हैं, और इन्हें मिला देना गलत बाइनरी इंस्टॉल करने से अलग विफलता है। एक प्रोजेक्ट द्वारा रखरखाव किया गया OpenVPN बिल्ड असंबंधित संचालक द्वारा लिखा कॉन्फ़िगरेशन ख़ुशी से लोड करेगा, और यह सामान्य व्यवहार है, समझौते का सबूत नहीं। उल्टा भी सच है: वैध प्रोफ़ाइल अनौपचारिक क्लाइंट को भरोसेमंद नहीं बनाती। हर वस्तु को उसके अपने स्रोत के विरुद्ध सत्यापित करें, और कभी न होने दें कि चलता हुआ कनेक्शन दो जाँचों को एक कर दे।

कार्य करने से पहले पूछें कि दोनों में से कौन सी वस्तु वास्तव में संदेह में है, क्योंकि उपाय अलग है। खराब क्लाइंट का अर्थ पुनः इंस्टॉल है, जबकि खराब प्रोफ़ाइल का अर्थ एक फ़ाइल मिटाकर उसे फिर से जारी करना है।

अनिश्चितता पर कार्य करें, फिर ठीक से सफ़ाई करें

यदि पहचान अनिश्चित रहती है, तो क्रेडेंशियल देना बंद करें और आपने बुकमार्क किए सत्यापित चैनल से सॉफ़्टवेयर स्वयं प्राप्त करें। फ़ोल्डर मिटाकर आशा करने के बजाय अवांछित एप्लिकेशन के लिए प्लेटफ़ॉर्म के मार्गदर्शन का पालन करें। फिर आपने जो प्रकाशक, संस्करण और सत्यापन विधि स्वीकार की, उसे लिख लें, ताकि अगले अपडेट की तुलना स्मृति से नहीं, किसी तथ्य से हो सके।

वैध प्रतिस्थापन के बाद, पुराने प्रोफ़ाइल और दी गई अनुमतियाँ क्लाइंट और ऑपरेटिंग सिस्टम दोनों में देखें। डाउनलोड की गई फ़ाइल को अनइंस्टॉल करने से इंस्टॉल किया गया एप्लिकेशन अपनी जगह रहता है, और पुरानी प्रोफ़ाइल उसे बनाने वाले क्लाइंट से अधिक जी सकती है जबकि वह अब भी ऐसे एंडपॉइंट की ओर इशारा करती है जिसकी कोई देखभाल नहीं करता। WireGuard का आधिकारिक इंस्टॉलेशन पृष्ठ उस तरह के संदर्भ का अच्छा उदाहरण है जिसे रखना चाहिए: यह मिरर नहीं, डेवलपर की अपनी सूची है।