VPN პორტალის ინსტალატორი: პაკეტი, პროფილი თუ ხელახალი აწყობა?
პორტალიდან ჩამოტვირთვა შეიძლება იყოს მომწოდებლის ხელმოწერილი ინსტალატორი, მხოლოდ პროფილიანი პაკეტი ან შიდა ხელახალი აწყობა. განლაგებამდე შეამოწმეთ გამომცემელი, შიგთავსი და განახლებების მფლობელი.
VPN პორტალის ჩამოტვირთვის ღილაკი აბრუნებს ზუსტად ერთ ფაილს, და ეს ფაილი შეიძლება იყოს ორი ძალიან განსხვავებული რამ: მომწოდებლის მზა ინსტალატორი, რომლის გვერდით კონფიგურაციის პროფილი მოგზაურობს, ან აწყობა, რომელიც ორგანიზაციამ თავად შეადგინა. გვერდი ორივე შემთხვევაში ერთნაირად გამოიყურება, ამიტომ ღილაკი ვერ გეტყვით, რომელი გაქვთ. მის უკან სამი კითხვა დგას — ვინ გამოაქვეყნა შესრულებადი ფაილი, რა კონფიგურაციას წერს ინსტალაცია და ვინ არემონტებს მას, როცა კლიენტის შემდეგი გამოშვება მოვა. პირველს პასუხობთ არტეფაქტის მეტამონაცემებიდან, მეორეს პაკეტის შიგთავსიდან, ხოლო მესამეს მხოლოდ იმ გუნდიდან, რომელიც განლაგებას ფლობს.
ბრაუზერის საკეტი ფარავს გადაცემას, და არა არტეფაქტს.
რას აბრუნებს სინამდვილეში ჩამოტვირთვის ბოლო წერტილი
პორტალების უმეტესობა ჩამოტვირთვის მოთხოვნას პატარა დამუშავებულს გადასცემს, რომელიც ან შენახულ ფაილს ნაკადად აწვდის, ან ადგილზე აწყობს ფაილს, შემდეგ კი პასუხის გასვლამდე ადგენს ფაილის სახელს და შიგთავსის ტიპს. რაც მოდის, კონტეინერია: MSI, PKG, DEB ან RPM, ან თვითამომხსნელი გარსი ერთ-ერთი მათგანის გარშემო. შიგნით კლიენტის ბინარული ფაილია, და ფაილის სახელში არაფერი ამბობს სანდოდ, ეს ბინარული მომწოდებლისგან მოვიდა თუ შიდა აწყობის ხაზიდან. client-setup.exe სახელის ფაილი აფიქსირებს დასახელების გადაწყვეტილებას და არა წარმომავლობის ფაქტს.
შეადარეთ ჩამოტვირთული ბაიტები მომწოდებლის გამოქვეყნებულ საკონტროლო ჯამს. შეუსაბამობა ბოროტ განზრახვას არ ამტკიცებს; ის ამტკიცებს, რომ ფაილი მომწოდებლის აწყობა არ არის, და სწორედ ეს განსხვავება ღირს მოქმედებად.
სად შედის პროფილი კლიენტში
წინასწარ შევსებული პარამეტრები ჩვეულებრივ ცალკე ფაილად მოგზაურობს, რომელსაც ინსტალატორი კოპირებს თითო მომხმარებლის ან თითო მანქანის ბილიკში: JSON ან XML პროფილი Windows-ზე, კონფიგურაციის პროფილი macOS-ზე, ფრაგმენტი /etc Linux-ზე. ამ ფაილის მნიშვნელობები — კარიბჭის ჰოსტსახელები, ნდობის ღუზები, ზოგჯერ რეგისტრაციის მასალა — პირველ გაშვებაზე კლიენტის ნაგულისხმევებად იქცევა. ამიტომ ერთ ჩამოტვირთვას შეუძლია საიდუმლოებების და კოდის ერთად ტარება.
იკითხეთ, რას აკეთებს განახლების გზა პროფილთან. შეფუთვის მიხედვით ის შეიძლება გადარჩეს კლიენტის განახლებას, გადაიწეროს მის მიერ, ან ჩავარდეს ახალ ვერსიაში სქემის ვალიდაციაში.
რას არ ამტკიცებს ხელმოწერის ჯაჭვი
კოდის ხელმოწერა აკავშირებს გამომცემლის იდენტობას ფაილის ჰეშთან, და Windows-ზე Authenticode-ის დროის ნიშა საშუალებას აძლევს ხელმოწერას იცოცხლოს იმ სერტიფიკატზე მეტხანს, რომელმაც ის შექმნა. ვალიდური შედეგი პასუხობს ორ კითხვას: რომელმა გამომცემელმა მოაწერა ხელი ამ ბაიტებს და შეიცვალა თუ არა ისინი შემდეგ. ის არ ჩამოთვლის ინსტალატორის სერვისებს, რეესტრის ჩანაწერებს ან თანმხლებ დრაივერებს და არ წყვეტს, უნდა ვენდოთ თუ არა ამ გამომცემელს აქ. Microsoft-ის Authenticode დოკუმენტაცია აღწერს მექანიზმს და ცხადია ამ ვიწრო არეალის შესახებ.
პორტალის ავთენტიფიკაცია პასუხობს მესამე კითხვას: სესიამ მიაღწია თუ არა განზრახ სერვერს. სამი განსხვავებული შემოწმება, სამი განსხვავებული მარცხის რეჟიმი.
შეამოწმეთ არტეფაქტი, სანამ ვინმე გაუშვებს მას
მოათავსეთ ფაილი იზოლირებულ მანქანაზე და წაიკითხეთ მისი მეტამონაცემები, სანამ რაიმეს შეასრულებთ. ეს ბრძანებები პასუხობს გამომცემლის კითხვას სამ მთავარ პლატფორმაზე.
# Windows PowerShell Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate # macOS pkgutil --check-signature ./Client.pkg codesign -dv --verbose=4 /Applications/Client.app # Debian/Ubuntu dpkg-deb -I ./client_amd64.deb sha256sum ./client_amd64.deb
წაიკითხეთ ხელმომწერის სუბიექტი და არა მხოლოდ სტატუსის სიტყვა. შიდა სერტიფიკატის ორგანოს მიერ შიდა აწყობის ხელმოწერა მოსალოდნელია; იგივე სერტიფიკატი პაკეტზე, რომელიც თავს მომწოდებლის გამოშვებად აცხადებს, ასე არ არის.
მხოლოდ პროფილიანი პაკეტისთვის გახსენით არქივი და მოეპყარით ყოველ ჩაშენებულ ჰოსტსახელსა და გასაღებს, როგორც მონაცემებს, რომელთა ანგარიშიც უნდა გაიწესოს. თუ პროფილი შეიცავს ხელახლა გამოსაყენებელ რამეს, პორტალით გავრცელება მას განლაგების გრაფიკის მქონე საერთო საიდუმლოდ აქცევს.
საკუთრების დადგენა განლაგებამდე
ბოლო კითხვის უკან ბრძანება არ დგას. გაარკვიეთ, ვინ აახლებს არტეფაქტს, როცა მომწოდებელი ახალ კლიენტს აგზავნის, ვის აქვს შიდა აწყობის ხელმოწერის გასაღები და როგორ ბრუნავს პროფილი, როცა ბოლო წერტილი ინაცვლებს. ჩაწერეთ ეს სახელები ჩამოტვირთვის ბმულის გვერდით.
თუ ამ პასუხს არავინ ფლობს, ჩამოტვირთვა გავრცელების არხია ტექნიკური მომსახურების ხელშეკრულების გარეშე, და სწორედ ეს არის მოხსენების ღირსი აღმოჩენა.