Apakah aplikasi VPN itu build resmi atau tiruan?

Perangkat lunak tiruan menyalin nama, ikon, dan tangkapan layar, dan ia terhubung cukup baik sehingga tampak meyakinkan. Terowongan yang berfungsi bukan bukti apa pun, karena pertanyaannya adalah siapa yang menulis biner itu. Perlakukan ini sebagai pemeriksaan identitas, bukan audit keamanan, dan ambil setiap nilai acuan dari saluran yang Anda pilih sendiri, bukan dari halaman aplikasi itu sendiri. Berikut lima pemeriksaan, dan masing-masing bisa gagal sementara yang lain lolos. Kerjakan berurutan, karena pemeriksaan belakangan tidak bisa menyelamatkan yang lebih awal.

Ambil nilai acuan Anda dari saluran yang Anda pilih

Buka petunjuk unduhan resmi proyek, atau saluran perangkat lunak terkelola organisasi Anda, sebelum Anda melihat apa yang terpasang. Catat penerbit toko yang diharapkan, identitas paket atau pemasang, dan platform yang didukung, lalu simpan catatan itu di tempat yang akan Anda temukan pada pembaruan berikutnya. Hasil pencarian atau penempatan bersponsor bukan saluran itu, dan penempatan berbayar berada di atas hasil organik justru karena orang mengklik kecocokan pertama. Tandai halaman itu sebagai favorit setelah Anda memverifikasinya, agar unduhan berikutnya dimulai dari keputusan dan bukan dari pencarian berulang.

Cermin atau repositori paket pihak ketiga juga merupakan saluran, dan itu hanya sepercaya operatornya. Catat mana yang Anda gunakan, karena detail itulah yang orang lupakan di antara pembaruan.

Bandingkan penerbit yang terpasang, bukan namanya

Bersandarlah pada catatan tanda tangan dan aplikasi milik platform sendiri bila ada, lalu baca versi, jalur pembaruan, dan izin yang diminta aplikasi. Melihat tanda tangan yang sah tidak sama dengan melihat penerbit yang Anda harapkan, karena sertifikat hanya membuktikan bahwa sebuah biner ditandatangani oleh siapa pun yang memilikinya. Tanda tangan dari perusahaan yang belum pernah Anda dengar tetap tanda tangan yang sah, karena itulah pengujian harus menyebut pihak yang Anda maksud. Pemasang yang membawa perangkat lunak tambahan, meminta sertifikat atau membuka permintaan akun yang tidak Anda duga, membutuhkan penjelasan dari dokumentasi produk itu sendiri.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Jalankan pemeriksaan yang sesuai dengan platform, dan bandingkan keluarannya dengan catatan acuan yang Anda buat pada langkah pertama. Ketidakcocokan pada kolom penerbit lebih informatif daripada kemiripan visual apa pun, karena ikon tidak perlu biaya untuk disalin. Jika keluarannya menyebut organisasi yang tidak muncul di mana pun dalam dokumentasi proyek, berhentilah di situ dan jangan masuk.

Apa yang sebenarnya dibuktikan tanda tangan terpasang

Ketika sebuah proyek menerbitkan checksum, tanda tangan, atau kunci rilis, jalani seluruh prosedur yang didokumentasikannya, termasuk bagian tentang memperoleh kunci acuan. Checksum yang dicetak di halaman yang sama dengan unduhan hanya membuktikan bahwa berkas itu cocok dengan halaman tersebut, yang merupakan klaim lebih lemah daripada kelihatannya. Pertanyaan yang berguna adalah apakah tanda tangan itu berantai ke identitas yang didokumentasikan proyek, melalui jalur yang tidak dikendalikan tiruan. Inilah langkah yang orang singkat menjadi apakah berkas itu punya tanda tangan atau tidak.

Kunci yang diambil dari server kunci dan sidik jari yang dicetak di README bukan bukti yang setara. Putuskan mana yang benar-benar Anda gunakan sebelum menyebut berkas itu terverifikasi.

Ketika aplikasinya asli tetapi profilnya tidak

Klien dan profil server berasal dari dua penerbit berbeda, dan mencampuradukkannya adalah kegagalan terpisah dari memasang biner yang salah. Build OpenVPN yang dipelihara satu proyek akan dengan senang hati memuat konfigurasi yang ditulis operator tak terkait, dan itu perilaku normal, bukan bukti kompromi. Berlaku pula sebaliknya: profil yang sah tidak membuat klien tidak resmi menjadi tepercaya. Verifikasi setiap objek terhadap sumbernya sendiri, dan jangan pernah biarkan koneksi yang berfungsi melebur dua pemeriksaan menjadi satu.

Tanyakan objek mana dari dua itu yang sebenarnya diragukan sebelum bertindak, karena penawarnya berbeda. Klien buruk berarti memasang ulang, sedangkan profil buruk berarti menghapus satu berkas dan menerbitkannya lagi.

Bertindaklah saat ragu, lalu bersihkan dengan benar

Jika identitas tetap tidak pasti, berhenti memberikan kredensial dan dapatkan perangkat lunaknya secara mandiri melalui saluran terverifikasi yang Anda tandai. Ikuti panduan platform untuk aplikasi yang tidak diinginkan alih-alih menghapus folder dan berharap. Lalu catat penerbit, versi, dan metode verifikasi yang Anda terima, agar pembaruan berikutnya dapat dibandingkan dengan fakta, bukan dengan ingatan.

Setelah penggantian yang sah, telusuri profil lama dan pemberian izin di klien maupun sistem operasi. Menghapus pemasangan berkas yang diunduh meninggalkan aplikasi terpasang di tempatnya, dan profil lama bisa hidup lebih lama daripada klien yang membuatnya sambil masih menunjuk ke titik akhir yang tidak dipelihara siapa pun. Halaman pemasangan resmi WireGuard adalah contoh pantas dari jenis acuan yang layak disimpan: itu daftar milik pengembang sendiri, bukan cermin.