VPN-ინსტალატორი სარკიდან? ჯერ გამომცემელი შეამოწმეთ

გვირაბი მუშაობდა, ინტერფეისი ავიდა და სესია კვირის განმავლობაში სტაბილური დარჩა. ამიდან არცერთი არ გეუბნებათ, ვინ ააშენა ინსტალატორი. VPN კლიენტი მუშაობს საკმარისი უფლებებით, რომ გადაწეროს მარშრუტები და წაიკითხოს სერთიფიკატები, ამიტომ გამომცემელი საფრთხის მოდელის ნაწილია და არა სქოლიო.

შეასრულეთ შემოწმებები თანმიმდევრობით და გაჩერდით პირველზე, რომელიც ვერ გაივლის. ისინი იაფია და თითოეული განსხვავებულ ხარვეზს კეტავს.

პირველი ნაბიჯი: ჩამოტვირთეთ იმ არხიდან, რომელსაც პროექტი ასახელებს

თითოეული პროექტი ადასტურებს, სად არის მისი გამოშვებები და ეს გვერდი საცნობაროა. საზოგადოების ნაგებობები, მაღაზიის ჩანაწერები და მომწოდებლის პორტალები ყველა ლეგიტიმური არხია. თითოეული მათგანი ლეგიტიმურია მხოლოდ მაშინ, როცა თავად პროექტი მიუთითებს მასზე. ეს არის გამოცდა და ის არ არის იგივე, რაც ოფიციალურად გამოჩენა.

ფაილი, რომელსაც პროექტის სახელი ჰქვია, არაფერს ამტკიცებს. ინსტალატორის გადარქმევა ერთი წამის ოპერაციაა და სწორედ სახელია ის, რასაც ძიების შედეგი პირველად აჩვენებს.

მეორე ნაბიჯი: გადაამოწმეთ ხელმოწერა ცნობილ იდენტობასთან

ხელმოწერის გადამოწმება კარგად პასუხობს ვიწრო კითხვას. ის გეუბნებათ, რომ გარკვეულმა იდენტობამ მოაწერა ხელი ამ ბინარულ ფაილს და რომ ფაილი მას შემდეგ არ შეცვლილა. ის პასუხობს ერთ კითხვას და უარყოფს მეორეს. მას არ შეუძლია გითხრათ, არის თუ არა ეს იდენტობა ის, რომლისაც ნდობა გსურდათ.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

წაიკითხეთ იდენტობა და არა სტატუსის სიტყვა. დაუკავშირებელი დეველოპერი სწორი სერთიფიკატით სწორ ხელმოწერას ქმნის. ოპერაციული სისტემა, რომელიც აღიარებულ გამომცემელს აცნობებს, მხოლოდ იმას გითხრათ, რომ ვიღაცამ სერთიფიკატისთვის გადაიხადა.

მესამე ნაბიჯი: შეადარეთ ჰეში დამოუკიდებელ წყაროს

საკონტროლო ჯამი ამტკიცებს შესაბამისობას საცნობარო მნიშვნელობასთან. თუ საცნობარი ჩამოტვირთვის გვერდით მოვიდა, ორივე შეიძლება ერთდროულად მცდარი იყოს და შედარება მაინც გაივლის. ეს არის მარცხის ნიმუში უმეტეს სახელმძღვანელოში. ჰეში იმავე გვერდზეა, სადაც ფაილი, რომელსაც ის აღწერს.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

როცა პროექტი აქვეყნებს ხელმოწერილ საკონტროლო ჯამებს ან ხელმოწერილ გამოშვების მანიფესტს, გადაამოწმეთ ხელმოწერა სიაზე და არა თითოეულ ფაილზე ცალკე. ასე ერთი სანდო საცნობარი მთელ გამოშვებას ფარავს.

ინსტალაციის შემდეგ: შეინარჩუნეთ განახლების გზა

მხარდაჭერილი არხი მნიშვნელოვანი რჩება ინსტალაციის დასრულების შემდეგაც. ხელახლა შეფუთულ ნაგებობებს შეიძლება ჰქონდეთ საკუთარი განახლება და სწორედ ის წყვეტს, რა იმუშავებს მომავალ თვეში. ნაგებობა, რომელიც არასდროს ახლდება, უფრო უსაფრთხო არ არის. ის უბრალოდ უფრო ძველია.

ჩაწერეთ, როგორ უნდა განახლდეს კლიენტი და ფლობს თუ არა მართვის სისტემა ამ ნაბიჯს. თუ პასუხი ფორუმიდან ხელით ჩამოტვირთვაა, მომარაგების ჯაჭვის კითხვა არასდროს რეალურად არ დაიხურა.

ორი წარმომავლობა და არა ერთი

კლიენტის დეველოპერი და პროფილის გამომცემელი ცალკე მხარეები არიან. ოფიციალური კლიენტის მიერ დაუკავშირებელი ოპერატორის პროფილის იმპორტი ნორმალური წესრიგია და პროფილი საკუთარ შემოწმებას იმსახურებს: ვინ გასცა, როგორ ჩაბარდა და ემთხვევა თუ არა სერვერის სერთიფიკატი იმ სახელს, რომელსაც ელით.

ორივე წარმომავლობა ამოსაცნობი შეინახეთ თქვენს ჩანაწერებში. იმ წუთას, როცა კლიენტი იცვლება ან მოწყობილობა სარეზერვო ასლიდან აღდგება, სწორედ ეს ორი ხაზი აჩერებს უცნობ ნაგებობას ან უცნობ პროფილს დანარჩენ მონაცემებთან ერთად დაბრუნებას.