VPN instalater sa zrcala? Prvo provjerite izdavača

Tunel je radio, sučelje se pojavilo i sesija je ostala stabilna cijeli tjedan. Ništa od toga ne govori tko je izradio instalater. VPN klijent radi s dovoljno privilegija da prepisuje rute i čita vjerodajnice, pa je izdavač dio modela prijetnji, a ne fusnota.

Prođite provjere redom i zaustavite se na prvoj koja ne uspije. One su jeftine i svaka zatvara drugu prazninu.

Prvi korak: Preuzmite s kanala koji projekt navodi

Svaki projekt dokumentira gdje se nalaze njegova izdanja i ta je stranica referenca. Komunitarne gradnje, trgovine i portali dobavljača svi su legitimni kanali. Svaki je legitiman samo kad sam projekt na njega upućuje. To je test i nije isto što i izgledati službeno.

Datoteka nazvana po projektu ne dokazuje ništa. Preimenovanje instalatera je operacija od jedne sekunde, a ime je ono što rezultat pretrage pokaže prvo.

Drugi korak: Provjerite potpis prema poznatom identitetu

Provjera potpisa dobro odgovara na usko pitanje. Kaže vam da je određeni identitet potpisao ovu binarnu datoteku i da se datoteka od tada nije promijenila. Odgovara na jedno pitanje i odbija drugo. Ne može vam reći je li taj identitet onaj kojem ste namjeravali vjerovati.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Čitajte identitet, a ne riječ statusa. Nepovezani programer s valjanim certifikatom proizvodi valjani potpis. Operacijski sustav koji prijavljuje priznatog izdavača rekao vam je samo da je netko platio certifikat.

Treći korak: Usporedite hash s neovisnim izvorom

Kontrolna suma dokazuje podudaranje s referentnom vrijednošću. Ako je referenca stigla uz preuzimanje, obje mogu biti pogrešne zajedno, a usporedba ipak prolazi. To je način neuspjeha u većini tutorijala. Hash stoji na istoj stranici kao datoteka koju opisuje.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Kad projekt objavljuje potpisane kontrolne sume ili potpisani manifest izdanja, provjerite potpis nad popisom, a ne nad svakom datotekom zasebno. Tako jedna pouzdana referenca pokriva cijelo izdanje.

Nakon instalacije: Zadržite putanju ažuriranja

Podržani kanal nastavlja biti važan i nakon završetka instalacije. Prepakirane gradnje mogu nositi vlastiti ažurator, a taj ažurator odlučuje što će raditi sljedeći mjesec. Gradnja koja se nikada ne ažurira nije sigurnija. Ona je jednostavno starija.

Zabilježite kako bi se klijent trebao ažurirati i upravlja li upravljački sustav tim korakom. Ako je odgovor ručno preuzimanje s foruma, pitanje dobavnog lanca nikada se nije stvarno zatvorilo.

Dva podrijetla, ne jedno

Razvijač klijenta i izdavatelj profila odvojene su strane. Službeni klijent koji uvozi profil nepovezanog operatera normalan je aranžman, a profil zaslužuje vlastitu provjeru: tko ga je izdao, kako je dostavljen i poklapa li se certifikat poslužitelja s imenom kojem se nadate.

Oba podrijetla držite prepoznatljivima u svojim bilješkama. U trenutku kad se klijent zamijeni ili uređaj vrati iz sigurnosne kopije, ta dva retka sprječavaju da se nepoznata gradnja ili nepoznati profil vrate s ostatkom podataka.