そのVPNアプリは公式ビルドか、それとも偽物か

偽装ソフトウェアは名前、アイコン、スクリーンショットをコピーし、説得力があるように見える程度にはきちんと接続します。トンネルが通ることは何の証拠にもなりません。問うべきは、そのバイナリを誰が書いたかです。これはセキュリティ監査ではなく身元確認として扱い、参照値はすべて自分で選んだ経路から取り、アプリ自身のページから取らないでください。以下に五つの確認があり、どれか一つが失敗しても他は通ってしまいます。順番に進めてください。後の確認は前の確認を救えません。

参照値は自分で選んだ経路から取る

何がインストールされているかを見る前に、プロジェクトの公式ダウンロード手順、または組織の管理されたソフトウェア経路を開いてください。想定されるストアの公開元、パッケージまたはインストーラーの識別情報、対応プラットフォームを書き留め、次の更新のときに見つけられる場所にそのメモを置きます。検索結果や広告枠はその経路ではなく、有料枠が自然検索の上に来るのは、人が最初の一致をクリックするからです。確認したらページをブックマークし、次のダウンロードが繰り返しの検索ではなく判断から始まるようにしてください。

ミラーや第三者のパッケージリポジトリも経路の一つで、その信頼性は運営者と同じだけしかありません。どちらを使ったかを書き留めてください。更新と更新の間に忘れられるのは、まさにその点です。

名前ではなく、インストールされた公開元を比べる

存在する場合はプラットフォーム自身の署名記録とアプリケーション記録に頼り、そのうえでバージョン、更新経路、アプリが要求した権限を読みます。有効な署名を見つけることは、期待した公開元を見つけることと同じではありません。証明書が証明するのは、その証明書を持つ誰かがバイナリに署名したという一点だけです。聞いたこともない会社の署名でも有効な署名であり、だからこそ確認では意図した当事者を名指ししなければなりません。余計なソフトウェアを同梱するインストーラーが、証明書を要求したり、想定外のアカウント画面を開いたりする場合は、製品自身の文書による説明が必要です。

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

プラットフォームに合った確認を実行し、その出力を最初の手順で作った参照メモと比べてください。公開元の欄の不一致は、どんなに見た目が似ていてもそれ以上の情報を与えます。アイコンのコピーには何のコストもかからないからです。出力に、プロジェクトの文書のどこにも出てこない組織名があれば、そこで止まり、サインインしないでください。

インストールされた署名が実際に証明するもの

プロジェクトがチェックサム、署名、リリース鍵を公開しているときは、参照鍵の入手方法を含め、文書化された手順をすべて踏んでください。ダウンロードと同じページに印刷されたチェックサムは、そのファイルがそのページと一致することを示すだけで、見た目より弱い主張です。有用な問いは、署名がプロジェクトの文書化した身元まで連鎖しているか、そしてその経路を偽物が支配していないかです。人がこの手順を「ファイルに署名があるかどうか」に短縮してしまうのが問題です。

鍵サーバーから取得した鍵と、READMEに印刷されたフィンガープリントは、同等の証拠ではありません。ファイルを検証済みと呼ぶ前に、実際にどちらを使ったかを決めてください。

アプリは本物でもプロファイルが本物でない場合

クライアントとサーバープロファイルは別々の発行者から来ており、両者を混同することは、間違ったバイナリをインストールすることとは別の失敗です。あるプロジェクトが保守するOpenVPNビルドは、無関係な運営者が書いた設定を平然と読み込みます。これは正常な動作であり、侵害の証拠ではありません。逆も成り立ちます。正当なプロファイルは、非公式のクライアントを信頼できるものにはしません。各オブジェクトをそれぞれの出所に対して検証し、接続が通ることを理由に二つの確認を一つにまとめないでください。

行動する前に、二つのうちどちらが本当に疑わしいのかを問うてください。対処法が違うからです。悪いクライアントなら再インストール、悪いプロファイルなら一つのファイルを削除して再発行します。

不確かなときは行動し、その後できちんと片付ける

身元が不明なままなら、資格情報の提供をやめ、ブックマークした検証済みの経路からソフトウェアを独立に入手してください。フォルダーを消して願うのではなく、プラットフォームの不要なアプリに関する案内に従います。そのうえで、受け入れた公開元、バージョン、検証方法を記録し、次の更新を記憶ではなく事実と比べられるようにしてください。

正規のものに置き換えた後は、古いプロファイルと許可の付与を、クライアントとオペレーティングシステムの両方で確認してください。ダウンロードしたファイルを削除しても、インストール済みのアプリはそのまま残ります。古いプロファイルは、それを作ったクライアントより長く生き残り、誰も保守していないエンドポイントを指し続けることがあります。WireGuardの公式インストールページは、ミラーではなく開発者自身の一覧として、残しておく価値のある参照の好例です。