क्या उस VPN इंस्टॉलर की स्कैन रिपोर्ट आपकी फ़ाइल के बारे में है?

एक समग्र स्कैन रिपोर्ट एक ही क्षण में प्रस्तुत एक वस्तु का वर्णन करती है, उत्पाद परिवार का नहीं। किसी पहचान को कोई भी निर्णय बदलने से पहले पुष्टि करें कि रिपोर्ट में दिया हैश आपकी डिस्क की फ़ाइल से मेल खाता है और लेबल किया गया इंजन, तिथि व संस्करण पंक्ति उसी आर्टिफ़ैक्ट से मेल खाती है। यदि इन तीन में से कोई क्षेत्र अनुपस्थित है, तो फ़ाइल नाम के पास की संख्या अभी आपके बिल्ड का प्रमाण नहीं है। नीचे दिए गए चरण क्रम से चलते हैं, और हर एक समीक्षा रोक सकता है।

स्कोर पर बहस करने के बजाय पहले अंतर पर रुकें।

स्कोर से नहीं, फ़ाइल से शुरू करें

कुछ और उसे छूने से पहले आर्टिफ़ैक्ट का SHA-256 दर्ज करें। इसे डाउनलोड निर्देशिका से कॉपी करें, किसी साझा फ़ोल्डर से नहीं जिसमें पहले से दोबारा पैकेज की गई प्रति हो सकती है, और फ़ाइल गुणों में दिखाई देने वाली संस्करण शृंखला तथा प्रकाशक नोट करें। दो रिलीज़ पहले के इंस्टॉलर से जुड़ी रिपोर्ट आज आपके उपयोगकर्ताओं द्वारा इंस्टॉल किए जाने वाले बिल्ड के बारे में कुछ नहीं कहती, तब भी जब उत्पाद नाम, आइकन और विक्रेता मेल खाते हों। नाम वह चुनता है जिसने फ़ाइल पैकेज की; हैश नहीं।

उस हैश को रिपोर्ट लिंक के साथ सहेजें ताकि जोड़ी को बाद में फिर जाँचा जा सके।

पहले पहचान पढ़ें, फिर इंजन

मुख्य संख्या उन इंजनों को गिनती है जो किसी चीज़ से मेल खाए, और वे मेल समान नहीं हैं। नामित हस्ताक्षर उस परिवार या व्यवहार का वर्णन करता है जिसे इंजन पहचानने का दावा करता है; अनुमानी या प्रतिष्ठा-लेबल किसी नियम का संदेह बताता है, जो कमज़ोर है और परिभाषा अद्यतनों के बीच अधिक खिसकता है। इंजन कॉलम बताता है कि निष्कर्ष किस विक्रेता का है और इसलिए कौन सा विक्रेता उसकी समीक्षा या सुधार कर सकता है। यदि दोनों इंजनों ने वही हस्ताक्षर सेट कॉपी किया है तो एक ही फ़ाइल को चिह्नित करना दोगुना प्रमाण नहीं है।

विश्लेषण का समय-चिह्न भी जाँचें। हस्ताक्षर अद्यतन होने या विक्रेता द्वारा नमूने का पुनः विश्लेषण करने पर निर्णय बदल सकता है।

रिपोर्ट की तुलना अपने पास मौजूद आर्टिफ़ैक्ट से करें

जिस प्लेटफ़ॉर्म से आप परिनियोजित करेंगे उस पर स्थानीय रूप से हैश की गणना करें, फिर उसकी रिपोर्ट से अक्षर-दर-अक्षर तुलना करें। ये कमांड इंस्टॉलर चलाए बिना डाइजेस्ट छापते हैं।

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

मेल खाता डाइजेस्ट रिपोर्ट को उस बाइट क्रम से बाँधता है और किसी और चीज़ से नहीं। यदि डाइजेस्ट भिन्न हैं, तो रिपोर्ट किसी दूसरी फ़ाइल की है और समीक्षा डाउनलोड स्रोत से फिर शुरू होती है।

जब डाइजेस्ट मेल खाएँ, तो निष्कर्ष पूरा पढ़ें: इंजन, लेबल, संस्करण, पहली बार दिखने की तिथि और फ़ाइल के हस्ताक्षरित या पैकेज्ड होने के बारे में कोई भी टिप्पणी। फिर आर्टिफ़ैक्ट पर ही हस्ताक्षरकर्ता का विषय जाँचें, क्योंकि वैध हस्ताक्षर व्यवहार तय किए बिना प्रकाशक की पहचान जोड़ता है।

प्रश्न सही स्वामी को भेजें

केवल इंजन का विक्रेता ही अपनी पहचान संशोधित कर सकता है, इसलिए झूठी-सकारात्मक दावा उस विक्रेता के समीक्षा चैनल में हैश, रिपोर्ट के स्थायी लिंक और फ़ाइल के विवरण के साथ जाता है। सॉफ़्टवेयर प्रकाशक स्वच्छ बिल्ड या स्पष्टीकरण दे सकता है, पर किसी दूसरी कंपनी का लेबल नहीं मिटा सकता। पहले प्रकाशक तक बढ़ाना आमतौर पर एक सप्ताह जोड़ता है और कोई जानकारी नहीं।

समीक्षा के दौरान एंडपॉइंट सुरक्षा नीति को अक्षुण्ण रखें। स्कैनर बंद करना या व्यापक फ़ोल्डर अपवाद जोड़ना चेतावनी को हल करता है पर यह नहीं बताता कि कौन सी फ़ाइल का मूल्यांकन हुआ, और यह उसी स्थिति की अगली घटना छिपा देता है।

सार्वजनिक इंस्टॉलर की पहचान के लिए आवश्यक न्यूनतम जानकारी साझा करें: हैश, फ़ाइल नाम, संस्करण और रिपोर्ट लिंक। इसके लिए क्लाइंट प्रोफ़ाइल, निजी कुंजी या पूर्ण मेमोरी छवि आवश्यक नहीं है, और इनमें से एक अपलोड करने से सॉफ़्टवेयर का प्रश्न डेटा-प्रबंधन की घटना बन जाता है।