Az a VPN-alkalmazás a hivatalos build vagy egy utánzat?

Az utánzó szoftver neveket, ikonokat és képernyőképeket másol, és elég jól csatlakozik ahhoz, hogy meggyőzőnek tűnjön. Az, hogy az alagút működik, nem bizonyít semmit, mert a kérdés az, ki írta a binárist. Kezelje ezt identitás-ellenőrzésként, nem biztonsági auditként, és minden referenciaértéket olyan csatornából vegyen, amelyet Ön választott, ne az alkalmazás saját oldaláról. Öt ellenőrzés következik, és mindegyik elbukhat, miközben a többi átmegy. Sorrendben végezze őket, mert egy későbbi ellenőrzés nem menthet meg egy korábbit.

A referenciaértékeket olyan csatornából szerezze be, amelyet Ön választott

Nyissa meg a projekt hivatalos letöltési útmutatóját vagy szervezete felügyelt szoftvercsatornáját, mielőtt megnézné, mi van telepítve. Jegyezze fel a várható áruházi kiadót, a csomag vagy a telepítő identitását és a támogatott platformokat, majd tartsa ezt a feljegyzést ott, ahol a következő frissítésnél megtalálja. Egy keresési találat vagy egy szponzorált hely nem ez a csatorna, és a fizetett hely azért van a szerves találat felett, mert az emberek az első egyezésre kattintanak. Miután ellenőrizte, tegye könyvjelzők közé az oldalt, hogy a következő letöltés döntésből induljon, ne ismételt keresésből.

A tükör vagy egy harmadik féltől származó csomagtár is csatorna, és csak annyira megbízható, mint az üzemeltetője. Írja le, melyiket használta, mert éppen ezt a részletet felejtik el az emberek a frissítések között.

A telepített kiadót hasonlítsa össze, ne a nevet

Támaszkodjon a platform saját aláírási és alkalmazásnyilvántartásaira, ahol léteznek, majd olvassa el a verziót, a frissítési útvonalat és az alkalmazás által kért engedélyeket. Egy érvényes aláírás észlelése nem ugyanaz, mint a várt kiadó észlelése, mert a tanúsítvány csak azt igazolja, hogy a binárist az írta alá, aki birtokolja. Egy olyan cég aláírása, amelyről soha nem hallott, még mindig érvényes aláírás, ezért a tesztnek meg kell neveznie azt a felet, akire gondolt. A további szoftvert hozó telepítő, tanúsítványt kér vagy nem várt fiókablakot nyit meg, magyarázatot igényel a termék saját dokumentációjából.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Futtassa a platformhoz illő ellenőrzést, és hasonlítsa össze a kimenetét az első lépésben készített referenciaszöveggel. A kiadó mezőjében lévő eltérés többet mond bármilyen vizuális hasonlóságnál, mert egy ikon másolása semmibe nem kerül. Ha a kimenet olyan szervezetet nevez meg, amely sehol nem szerepel a projekt dokumentációjában, álljon meg ott, és ne jelentkezzen be.

Mit bizonyít valójában a telepített aláírás

Amikor egy projekt ellenőrzőösszegeket, aláírásokat vagy kiadási kulcsokat tesz közzé, járja végig a teljes dokumentált eljárást, beleértve a referenciakulcs beszerzéséről szóló részt is. A letöltéssel azonos oldalon nyomtatott ellenőrzőösszeg csak azt bizonyítja, hogy a fájl megfelel annak az oldalnak, ami gyengébb állítás annál, mint amilyennek látszik. A hasznos kérdés az, hogy az aláírás láncolódik-e a projekt által dokumentált identitáshoz, olyan úton, amelyet az utánzat nem ellenőriz. Ezt a lépést rövidítik le az emberek arra, hogy van-e egyáltalán aláírás a fájlon.

A kulcsszerverről lekért kulcs és a README-ben nyomtatott ujjlenyomat nem egyenértékű bizonyíték. Döntse el, melyiket használta valójában, mielőtt ellenőrzöttnek nevezi a fájlt.

Amikor az alkalmazás valódi, de a profil nem

Az ügyfél és a kiszolgálóprofil két különböző kibocsátótól származik, és összekeverésük külön hiba a rossz bináris telepítésétől. Egy projekt által gondozott OpenVPN build készséggel betölt egy olyan konfigurációt, amelyet független üzemeltető írt, és ez normális viselkedés, nem a kompromittálódás bizonyítéka. Fordítva is igaz: egy legitim profil nem tesz megbízhatóvá egy nem hivatalos klienst. Minden objektumot a saját forrásához mérjen, és soha ne hagyja, hogy egy működő kapcsolat két ellenőrzést egybeolvasszon.

Kérdezze meg, melyik objektum van valóban kétségben, mielőtt cselekszik, mert a megoldás eltér. A rossz ügyfél újratelepítést jelent, míg a rossz profil egy fájl törlését és újbóli kiadását.

Cselekedjen bizonytalanság esetén, majd tisztességesen takarítson

Ha az identitás bizonytalan marad, hagyja abba a hitelesítő adatok megadását, és szerezze be a szoftvert önállóan a könyvjelzővel megjelölt ellenőrzött csatornán. Kövesse a platform útmutatását a nem kívánt alkalmazásokról, ahelyett hogy törölne egy mappát és reménykedne. Ezután jegyezze fel az elfogadott kiadót, verziót és ellenőrzési módszert, hogy a következő frissítést tényhez és ne emlékezethez lehessen hasonlítani.

Egy legitim csere után menjen végig a régi profilokon és engedélyezéseken mind az ügyfélben, mind az operációs rendszerben. A letöltött fájl eltávolítása a helyén hagyja a telepített alkalmazást, és egy régi profil túlélheti az őt létrehozó ügyfelet, miközben még mindig olyan végpontra mutat, amelyet senki nem tart karban. A WireGuard hivatalos telepítési oldala jó példa arra a fajta referenciára, amelyet érdemes megtartani: ez a fejlesztő saját listája, nem egy tükör.