VPN-portál telepítője: csomag, profil vagy újraépítés?

Egy VPN-portál letöltésgombja pontosan egy fájlt ad vissza, és ez a fájl két nagyon különböző dolog lehet: a gyártó kész telepítője, amely mellett konfigurációs profil utazik, vagy egy build, amelyet a szervezet maga állított össze. Az oldal mindkét esetben ugyanúgy néz ki, ezért a gomb nem tudja megmondani, melyik van Önnél. Mögötte három kérdés áll — ki tette közzé a végrehajtható fájlt, milyen konfigurációt ír a telepítés, és ki javítja meg, amikor megérkezik a következő klienskiadás. Az elsőre az artefaktum metaadataiból válaszol, a másodikra a csomag tartalmából, a harmadikra pedig csak a bevezetést birtokló csapattól.

A böngésző lakatja az átvitelt fedi, nem az artefaktumot.

Mit ad vissza valójában a letöltési végpont

A legtöbb portál a letöltési kérést egy kis kezelőnek adja át, amely vagy egy tárolt fájlt streamel, vagy a helyszínen összeállít egyet, majd beállít egy fájlnevet és egy tartalomtípust, mielőtt a válasz elindul. Ami megérkezik, az egy konténer: MSI, PKG, DEB vagy RPM, vagy egy önkicsomagoló burkoló valamelyik körül. Belül a kliens bináris fájlja található, és semmi a fájlnévben nem mondja meg megbízhatóan, hogy ez a bináris a gyártótól vagy egy belső build-folyamatból származik-e. Egy client-setup.exe nevű fájl egy elnevezési döntést rögzít, nem a származás tényét.

Hasonlítsa össze a letöltött bájtokat a gyártó által közzétett ellenőrzőösszeggel. Az eltérés nem bizonyít rosszindulatot; azt bizonyítja, hogy a fájl nem a gyártó buildje, és ez az a különbség, amely alapján érdemes cselekedni.

Hol lép be a profil a kliensbe

Az előre kitöltött beállítások általában külön fájlként utaznak, amelyet a telepítő felhasználónkénti vagy gépenkénti útvonalra másol: JSON vagy XML profil Windowson, konfigurációs profil macOS-en, töredék az /etc alatt Linuxon. Az abban a fájlban lévő értékek — átjáró gazdagépnevek, bizalmi horgonyok, néha regisztrációs anyag — az első indításkor a kliens alapértelmezéseivé válnak. Ezért egyetlen letöltés titkokat is hordozhat a kód mellett.

Kérdezze meg, mit tesz a frissítési útvonal a profillal. A csomagolástól függően túlélheti a kliensfrissítést, felülíródhat általa, vagy elbukhat a séma érvényesítésén az új verzióban.

Mit nem bizonyít az aláíráslánc

A kódaláírás a kiadó identitását egy fájlhash-hez köti, és Windowson az Authenticode időbélyeg lehetővé teszi, hogy az aláírás túlélje a létrehozó tanúsítványt. Egy érvényes eredmény két kérdésre válaszol: melyik kiadó írta alá ezeket a bájtokat, és változtak-e utána. Nem sorolja fel a telepítő szolgáltatásait, bejegyzésírásait vagy a mellékelt illesztőprogramokat, és nem dönti el, hogy meg kell-e bízni ebben a kiadóban itt. A Microsoft Authenticode dokumentációja leírja a mechanizmust, és egyértelmű e szűk hatókörről.

A portál hitelesítése egy harmadik kérdésre válaszol: hogy a munkamenet elérte-e a szándékolt kiszolgálót. Három különböző ellenőrzés, három különböző hiba mód.

Ellenőrizze az artefaktumot, mielőtt bárki futtatja

Helyezze a fájlt egy elkülönített gépre, és olvassa el a metaadatait, mielőtt bármit végrehajt. Ezek a parancsok a kiadó kérdésére válaszolnak a három fő platformon.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Az aláíró tárgyát olvassa, ne csak az állapotszót. Egy belső tanúsítványhatóság belső buildet aláírva várható; ugyanaz a tanúsítvány egy olyan csomagon, amely a gyártó kiadásának vallja magát, nem az.

Csak profilos csomag esetén nyissa meg az archívumot, és kezeljen minden beágyazott gazdagépnevet és kulcsot olyan adatként, amelyről számot kell adni. Ha a profil bármi újrahasznosíthatót tartalmaz, a portálon keresztüli terjesztés megosztott titokká teszi, bevezetési ütemtervvel.

A tulajdonjog tisztázása a bevezetés előtt

Az utolsó kérdés mögött nincs parancs. Derítse ki, ki frissíti az artefaktumot, amikor a gyártó új klienst küld, kinél van a belső build aláírókulcsa, és hogyan rotálják a profilt, amikor egy végpont elmozdul. Írja ezeket a neveket a letöltési hivatkozás mellé.

Ha senki nem birtokolja ezt a választ, a letöltés karbantartási szerződés nélküli terjesztési csatorna, és ez az a megállapítás, amelyet érdemes jelenteni.