ეს VPN აპლიკაცია ოფიციალური ნაგებობაა თუ მისი მსგავსი?

მსგავსი პროგრამული უზრუნველყოფა აკოპირებს სახელებს, ხატულებს და ეკრანის სურათებს და საკმარისად კარგად უკავშირდება, რომ დამაჯერებლად გამოიყურებოდეს. გვირაბის მუშაობა არაფრის მტკიცებულება არ არის, რადგან კითხვა ისაა, ვინ დაწერა ბინარული ფაილი. მოეკედლეთ ამას როგორც იდენტობის შემოწმებას და არა უსაფრთხოების აუდიტს, და ყოველი საცნობარო მნიშვნელობა აიღეთ იმ არხიდან, რომელიც თქვენ აირჩიეთ, და არა თავად აპლიკაციის გვერდიდან. მოჰყვება ხუთი შემოწმება და თითოეული შეიძლება ჩავარდეს, სანამ სხვები გაივლიან. შეასრულეთ ისინი რიგითობით, რადგან გვიანი შემოწმება ვერ იხსნის ადრინდელს.

საცნობარო მნიშვნელობები აიღეთ თქვენ მიერ არჩეული არხიდან

გახსენით პროექტის ოფიციალური ჩამოტვირთვის ინსტრუქციები ან თქვენი ორგანიზაციის მართული პროგრამული არხი, სანამ ნახავთ, რა არის დაინსტალირებული. ჩაიწერეთ მოსალოდნელი მაღაზიის გამომცემელი, პაკეტის ან ინსტალატორის იდენტობა და მხარდაჭერილი პლატფორმები, შემდეგ შეინახეთ ეს ჩანაწერი იქ, სადაც იპოვით მას შემდეგი განახლებისას. ძიების შედეგი ან ფასიანი განთავსება არ არის ის არხი, და ფასიანი განთავსება ორგანულ შედეგზე მაღლა დგას სწორედ იმიტომ, რომ ადამიანები პირველ დამთხვევას აჭერენ. გვერდი სანიშნეებში შეინახეთ მას შემდეგ, რაც შეამოწმებთ, რომ შემდეგი ჩამოტვირთვა გადაწყვეტილებიდან დაიწყოს და არა განმეორებითი ძიებიდან.

სარკე ან მესამე მხარის პაკეტების საცავი ასევე არხია და ის იმდენად სანდოა, რამდენადაც მისი ოპერატორი. ჩაწერეთ, რომელი გამოიყენეთ, რადგან სწორედ ამ დეტალს ივიწყებენ ადამიანები განახლებებს შორის.

შეადარეთ დაინსტალირებული გამომცემელი და არა სახელი

დაეყრდენით პლატფორმის საკუთარ ხელმოწერისა და აპლიკაციების ჩანაწერებს, სადაც ისინი არსებობს, შემდეგ წაიკითხეთ ვერსია, განახლების გზა და აპლიკაციის მოთხოვნილი ნებართვები. ნამდვილი ხელმოწერის შემჩნევა არ არის იგივე, რაც მოსალოდნელი გამომცემლის შემჩნევა, რადგან სერტიფიკატი მხოლოდ იმას ადასტურებს, რომ ბინარულ ფაილს ხელი მოაწერა მისმა მფლობელმა. უცნობი კომპანიის ხელმოწერა მაინც ნამდვილი ხელმოწერაა, ამიტომ შემოწმებამ უნდა დაასახელოს ის მხარე, რომელიც გულისხმობდით. ინსტალატორს, რომელსაც თან მოაქვს დამატებითი პროგრამა, ითხოვს სერტიფიკატს ან ხსნის მოულოდნელ ანგარიშის ფანჯარას, საჭიროა განმარტება პროდუქტის საკუთარი დოკუმენტაციიდან.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

გაუშვით პლატფორმის შესაბამისი შემოწმება და შეადარეთ მისი შედეგი პირველ ნაბიჯში შექმნილ საცნობარო ჩანაწერს. გამომცემლის ველში შეუსაბამობა უფრო ინფორმატიულია, ვიდრე ნებისმიერი ვიზუალური მსგავსება, რადგან ხატულის კოპირება არაფერი ღირს. თუ შედეგი ასახელებს ორგანიზაციას, რომელიც არსად არ ჩანს პროექტის დოკუმენტაციაში, გაჩერდით იქ და ნუ შეხვალთ სისტემაში.

რას ამტკიცებს სინამდვილეში დაინსტალირებული ხელმოწერა

როცა პროექტი აქვეყნებს საკონტროლო ჯამებს, ხელმოწერებს ან გამოშვების გასაღებებს, გაიარეთ მთელი ის პროცედურა, რომელსაც ის აღწერს, მათ შორის საცნობარო გასაღების მოპოვების ნაწილი. ჩამოტვირთვის იმავე გვერდზე დაბეჭდილი საკონტროლო ჯამი მხოლოდ იმას ამტკიცებს, რომ ფაილი ამ გვერდს შეესაბამება, რაც უფრო სუსტი მტკიცებაა, ვიდრე ჩანს. სასარგებლო კითხვა ისაა, მიდის თუ არა ხელმოწერა იმ იდენტობამდე, რომელსაც პროექტი აღწერს, ისეთი გზით, რომელსაც მსგავსი არ აკონტროლებს. სწორედ ამ ნაბიჯს ამოკლებენ ადამიანები კითხვამდე, აქვს თუ არა ფაილს საერთოდ ხელმოწერა.

გასაღების სერვერიდან წამოღებული გასაღები და README-ში დაბეჭდილი თითის ანაბეჭდი თანაბარი მტკიცებულება არ არის. გადაწყვიტეთ, რომელი გამოიყენეთ სინამდვილეში, სანამ ფაილს გადამოწმებულს უწოდებთ.

როცა აპლიკაცია ნამდვილია, პროფილი კი არა

კლიენტი და სერვერის პროფილი ორი სხვადასხვა გამომცემლისგან მოდის და მათი არევა ცალკე მარცხია არასწორი ბინარის დაყენებისგან. ერთი პროექტის მიერ მხარდაჭერილი OpenVPN-ის ნაგებობა სიამოვნებით ჩატვირთავს დაუკავშირებელი ოპერატორის მიერ დაწერილ კონფიგურაციას და ეს ნორმალური ქცევაა და არა შეტევის მტკიცებულება. საპირისპიროც მართალია: ლეგიტიმური პროფილი არაოფიციალურ კლიენტს სანდოს არ ხდის. გადაამოწმეთ თითოეული ობიექტი მისი საკუთარი წყაროს მიმართ და არასოდეს დაუშვათ, რომ მომუშავე კავშირმა ორი შემოწმება ერთში შეაერთოს.

სანამ იმოქმედებთ, ჰკითხეთ, რომელი ორი ობიექტიდან არის სინამდვილეში საეჭვო, რადგან გადაწყვეტა განსხვავებულია. ცუდი კლიენტი ნიშნავს ხელახლა დაყენებას, ცუდი პროფილი კი ერთი ფაილის წაშლას და ხელახლა გაცემას.

იმოქმედეთ გაურკვევლობისას და შემდეგ სწორად გაასუფთავეთ

თუ იდენტობა კვლავ გაურკვეველია, შეწყვიტეთ სერტიფიკატების მიწოდება და მიიღეთ პროგრამა დამოუკიდებლად თქვენ მიერ სანიშნეში შენახული გადამოწმებული არხით. მიჰყევით პლატფორმის მითითებებს არასასურველი აპლიკაციების შესახებ იმის ნაცვლად, რომ საქაღალდე წაშალოთ და იმედი გქონდეთ. შემდეგ ჩაწერეთ თქვენ მიერ მიღებული გამომცემელი, ვერსია და შემოწმების მეთოდი, რათა შემდეგი განახლება ფაქტს შეედაროს და არა მეხსიერებას.

ლეგიტიმური ჩანაცვლების შემდეგ გადახედეთ ძველ პროფილებს და მინიჭებულ ნებართვებს როგორც კლიენტში, ისე ოპერაციულ სისტემაში. ჩამოტვირთული ფაილის დეინსტალაცია დაინსტალირებულ აპლიკაციას ადგილზე ტოვებს და ძველმა პროფილმა შეიძლება იმაზე დიდხანს იცოცხლოს, ვიდრე მისმა შემქმნელმა კლიენტმა, სანამ კვლავ მიუთითებს ბოლო წერტილზე, რომელსაც არავინ ინარჩუნებს. WireGuard-ის ოფიციალური ინსტალაციის გვერდი კარგი მაგალითია იმისა, თუ როგორი საცნობარი ღირს შენახვა: ეს დეველოპერის საკუთარი სიაა და არა სარკე.