VPN-uppsetning frá spegli? Staðfestu útgefandann fyrst

Göngin virkuðu, viðmótið kom upp og lotan var stöðug í eina viku. Ekkert af þessu segir þér hver byggði uppsetningarforritið. VPN-viðskiptavinur keyrir með nægum réttindum til að endurskrifa leiðir og lesa skilríki, svo útgefandinn er hluti af ógnarlíkaninu, ekki neðanmálsgrein.

Farðu í gegnum athuganirnar í röð og stoppuðu við þá fyrstu sem mistekst. Þær eru ódýrar og hver þeirra lokar annarri eyðu.

Fyrsta skref: Hladdu niður af rásinni sem verkefnið nefnir

Hvert verkefni skjalfestir hvar útgáfurnar þess eru, og sú síða er viðmiðið. Samfélagsbyggingar, verslunarskrár og gáttir birgja eru allar lögmætar rásir. Hver þeirra er aðeins lögmæt þegar verkefnið sjálft bendir á hana. Það er prófið, og það er ekki það sama og að virðast formlegt.

Skrá sem heitir eftir verkefninu sannar ekkert. Að endurnefna uppsetningarforrit er aðgerð sem tekur eina sekúndu, og nafnið er það sem leitarniðurstaða sýnir fyrst.

Annað skref: Staðfestu undirskriftina gagnvart þekktri auðkenni

Staðfesting undirskriftar svarar þröngri spurningu vel. Hún segir þér að tiltekið auðkenni hafi undirritað þessa tvíundarskrá og að skráin hafi ekki breyst síðan. Hún svarar einni spurningu og hafnar annarri. Hún getur ekki sagt þér hvort það auðkenni sé það sem þú ætlaðir að treysta.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Lestu auðkennið, ekki stöðuorðið. Ótengdur þróunaraðili með gilt skírteini framleiðir gilda undirskrift. Stýrikerfi sem tilkynnir viðurkenndan útgefanda hefur aðeins sagt þér að einhver hafi borgað fyrir skírteini.

Þriðja skref: Berðu saman hash-gildið við óháðan uppruna

Gátsumma sannar samræmi við viðmiðunargildi. Ef viðmiðið kom við hlið niðurhalsins geta bæði verið röng saman og samanburðurinn gengur samt upp. Það er bilunarmynstrið í flestum leiðbeiningum. Hash-ið er á sömu síðu og skráin sem það lýsir.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Þegar verkefni birtir undirritaðar gátsummur eða undirritaða útgáfuskrá, staðfestu undirskriftina yfir listanum frekar en hverri skrá fyrir sig. Þannig nær eitt traust viðmið yfir alla útgáfuna.

Eftir uppsetningu: Haltu uppfærsluleiðinni

Studd rás skiptir áfram máli eftir að uppsetningu lýkur. Endurpökkuðar byggingar geta borið sinn eigin uppfærsluforrit og það forrit ræður því hvað keyrir í næsta mánuði. Bygging sem er aldrei uppfærð er ekki öruggari. Hún er einfaldlega eldri.

Skráðu hvernig viðskiptavininum er ætlað að uppfærast og hvort stjórnkerfi eigi það skref. Ef svarið er handvirk niðurhal af vefspjalli hefur spurningin um aðfangakeðjuna aldrei verið raunverulega lokuð.

Tveir upprunar, ekki einn

Þróunaraðili viðskiptavinarins og útgefandi sniðsins eru aðskildir aðilar. Opinber viðskiptavinur sem flytur inn snið frá ótengdum rekstraraðila er eðlilegt fyrirkomulag, og sniðið á skilið eigið mat: hver gaf það út, hvernig var það afhent og passar skírteini miðlarans við nafnið sem þú býst við.

Haltu báðum upprunum auðþekkjanlegum í athugasemdunum þínum. Á þeirri stundu þegar viðskiptavini er skipt út eða tæki endurheimt úr öryggisafriti eru það þessar tvær línur sem koma í veg fyrir að óþekkt bygging eða óþekkt snið komi til baka með restinni af gögnunum.