Er þetta VPN-forrit opinbera útgáfan eða eftirlíking?

Eftirlíkingarhugbúnaður afritar nöfn, tákn og skjámyndir, og hann tengist nógu vel til að virðast sannfærandi. Að göngin virki er engin sönnun fyrir neinu, því spurningin er hver skrifaði tvíundarskrána. Meðhöndlaðu þetta sem auðkenningarskoðun en ekki öryggisúttekt, og taktu hvert viðmiðunargildi úr rás sem þú valdir sjálf, ekki af síðu forritsins sjálfs. Fimm skoðanir fylgja, og hver þeirra getur mistekist á meðan hinar standast. Vinnið þær í röð, því skoðun sem kemur síðar getur ekki bjargað þeirri fyrri.

Fáðu viðmiðunargildin úr rás sem þú valdir

Opnaðu opinberar niðurhalaleiðbeiningar verkefnisins, eða stýrða hugbúnaðarrás stofnunarinnar þinnar, áður en þú skoðar hvað er uppsett. Skrifaðu niður væntan útgefanda í versluninni, auðkenni pakkans eða uppsetningarforritsins og studdar kerfisstillingar, og geymdu þá minnispunkt þar sem þú finnur hann við næstu uppfærslu. Leitarniðurstaða eða styrkt staðsetning er ekki sú rás, og greidda staðsetningin er ofan við lífrænu niðurstöðuna einmitt vegna þess að fólk smellir á fyrsta samsvarið. Settu síðuna í bókamerki þegar þú hefur sannreynt hana, svo næsta niðurhal byrji á ákvörðun en ekki endurtekinni leit.

Spegill eða þriðja aðila pakkasafn er líka rás, og hún er aðeins eins áreiðanleg og rekstraraðilinn hennar. Skrifaðu niður hvora þú notaðir, því einmitt þann smáatriði gleyma menn milli uppfærslna.

Berðu saman uppsetta útgefandann, ekki nafnið

Halladu þér að eigin undirskriftar- og forritaskrám kerfisins þar sem þær eru til, og lestu síðan útgáfuna, uppfærsluleiðina og þær heimildir sem forritið bað um. Að koma auga á gilda undirskrift er ekki það sama og að koma auga á útgefandann sem þú varst að vænta, því skírteini staðfestir aðeins að tvíundarskrá hafi verið undirrituð af þeim sem á það. Undirskrift frá fyrirtæki sem þú hefur aldrei heyrt um er enn gild undirskrift, og þess vegna verður prófið að nefna þann aðila sem þú áttir við. Uppsetningarforrit sem kemur með aukahugbúnað, biður um skírteini eða opnar reikningsglugga sem þú áttir ekki von á, þarf skýringu úr eigin skjölum vörunnar.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Keyrðu skoðunina sem passar við kerfið og berðu útkomuna saman við viðmiðunarminnispunktinn sem þú bjóst til í fyrsta skrefi. Mismunur í reit útgefandans segir meira en hvers kyns sjónræn líking, því tákn kostar ekkert að afrita. Ef útkoman nefnir stofnun sem hvergi kemur fyrir í skjölum verkefnisins, stoppaðu þar og skráðu þig ekki inn.

Hvað uppsett undirskrift sannar í raun

Þegar verkefni birtir gátsummur, undirskriftir eða útgáfulykla, farðu í gegnum alla þá aðferð sem það skjalfestir, þar á meðal hlutann um að fá viðmiðunarlykilinn. Gátsumma sem prentuð er á sömu síðu og niðurhalið sannar aðeins að skráin passi við þá síðu, sem er veikari fullyrðing en hún virðist. Gagnlega spurningin er hvort undirskriftin keðjist að auðkenninu sem verkefnið skjalfestir, eftir leið sem eftirlíkingin stýrir ekki. Þetta er skrefið sem fólk styttir í hvort skráin hafi yfirhöfuð undirskrift.

Lykill sóttur af lyklavef og fingrafar prentað í README eru ekki jafngild sönnun. Ákveddu hvorn þú notaðir í raun áður en þú kallar skrána sannreynda.

Þegar forritið er ósvikið en sniðið ekki

Biðlari og netþjónssnið koma frá tveimur mismunandi útgefendum, og að rugla þeim saman er annað mistök en að setja upp ranga tvíundarskrá. OpenVPN útgáfa sem eitt verkefni viðheldur mun fúslega hlaða stillingum sem ótengdur rekstraraðili skrifaði, og það er eðlileg hegðun en ekki sönnun um árás. Hið gagnstæða gildir líka: löglegt snið gerir óopinbert biðlaraforrit ekki áreiðanlegt. Sannreyndu hvern hlut gegn eigin uppruna, og leyfðu aldrei virkri tengingu að bræða tvær skoðanir í eina.

Spurðu hvor hluturinn er í raun dreginn í efa áður en þú bregst við, því ráðin eru mismunandi. Slæmur biðlari þýðir enduruppsetningu, en slæmt snið þýðir að eyða einni skrá og gefa hana út aftur.

Bregstu við óvissu og hreinsaðu svo almennilega

Ef auðkennið er áfram óvíst, hættu að gefa upp innskráningarupplýsingar og fáðu hugbúnaðinn óháð í gegnum sannreynda rásina sem þú settir í bókamerki. Fylgdu leiðbeiningum kerfisins um óvelkomin forrit í stað þess að eyða möppu og vona. Skráðu síðan útgefandann, útgáfuna og sannreynsluaðferðina sem þú samþykktir, svo hægt sé að bera næstu uppfærslu saman við staðreynd en ekki minni.

Eftir lögmæta uppsetningu skaltu fara í gegnum gömul snið og veittar heimildir bæði í biðlaranum og stýrikerfinu. Að fjarlægja niðurhalaða skrá lætur uppsetta forritið vera á sínum stað, og gamalt snið getur lifað lengur en biðlarinn sem bjó það til á meðan það bendir enn á endapunkt sem enginn heldur við. Opinber uppsetningarsíða WireGuard er gott dæmi um þá tegund viðmiðunar sem er þess virði að geyma: það er eigin listi forritarans en ekki spegill.