Ашық кодты VPN клиенті: код нені дәлелдейді және нені дәлелдей алмайды
Жария репозиторий бастапқы код туралы дәлел, сіз орнатқан билд немесе оның артындағы серверлер туралы емес. Шығарылымды сәйкестендіріңіз, содан кейін шолуды кеңейтіңіз.
Бастапқы код жарияланған, лицензия таза, ал байланысты әлі де ұштан ұшқа дейін тексеруге болмайды. Бұл алшақтық қалыпты жағдай және жанжал емес. Кодты жариялау бір құрамдас бөлікті шақырылмаған адамдарға тексеруге мүмкіндік береді, және бұл нақты әрі сирек қасиет. Бұдан сіз орнатқан бинарлық файл сол кодтан шықты деген қорытынды шықпайды, не провайдер екінші жақта іске қосатын нәрсенің бірде-бірі қаралды деген де қорытынды шықпайды.
Құрамдас бөлікті өнімнен ажыратыңыз
Ашық код белгісін төрт нәрсе алуы мүмкін және олардың бәрі бірдей ашық бола бермейді. Клиенттік қолданба — адамдар айтатын нәрсе. Оның астындағы хаттаманы жүзеге асыру — басқа артефакт, кейде кітапхана, кейде ағаш ішіндегі код. Серверлік бағдарламалық жасақтама үшінші, ал провайдердің өз инфрақұрылымы, аккаунт порталы және қолдау құралдары төртінші. Әрқайсысы дербес ашық немесе жабық болуы мүмкін.
Сондықтан "біздің қолданба ашық кодты" деген сияқты мәлімдемелер бірінші тармақты сипаттап, қалғанын жауапсыз қалдырады, бұл адалсыздық емес, қайта санаттың жылжуы. Пайдалы сұрақ: қай репозиторий, қай тегте, сіз сүйеніп отырған құрамдас бөлікке сәйкес келеді.
Бұл айырмашылық бірдей ашық клиенттері бар екі өнімнің неге мүлдем басқа кепілдіктер ұсына алатынын да түсіндіреді. Клиент — сіз тексере алатын бөлік; оператордың мінез-құлқы — басқа тәсілдермен бағалауға тиіс бөлік.
Орнатылған билдті жарияланған тегке сәйкестендіріңіз
Репозиторий — ниеттің жазбасы; дискіңіздегі бинарлық файл — іске қосылатын нәрсе. Бұл алшақтықты жабу механикалық жаттығу және ол жүктеу беті жарнамалаған нәрсені емес, нақты ненің орнатылғанын анықтаудан басталады.
| Component | What inspection can show | What it leaves untouched |
|---|---|---|
| Client source | How profiles, packets and optional telemetry are handled | Whether the shipped binary matches that source |
| Build output | Whether a declared build reproduces a matching artefact | Whether the source is correct or the toolchain is clean |
| Server software | What the implementation is capable of logging | What the operator actually configures and retains |
| Account and support systems | Almost nothing, unless they are separately published | Everything about how those systems treat your data |
Пакет метадеректері нұсқа мен шығу тегін айтады, бұл ескірген немесе ауыстырылған пакет сияқты қарапайым жағдайды жоққа шығарады. Олар бұл пакеттің қалай компиляцияланғанын айтпайды, ал қайталанатын билдтер дәл осы сұраққа жауап беру үшін бар. Қайталанатын билдтер тәуелсіз тарапқа сол көзден қайта құруға және нәтижені байт-байт салыстыруға мүмкіндік береді, осылайша сәйкессіздік күдік емес, дәлелге айналады.
Тіпті кемел сәйкестік те адамдар үміт еткеннен азын дәлелдейді. Ол артефакттің көзге және билд рецептіне сәйкес келетінін көрсетеді, көздің ақаусыз екенін және қолданылған құралдар тізбегінің сенімді болғанын емес. Екеуін де білу пайдалы, бірақ бұлар әртүрлі тұжырымдар.
dpkg -S /usr/bin/wg
apt-cache policy wireguard-tools
sha256sum /usr/bin/wgСимптом әдетте қайдан басталады
Бұл оқуды тудыратын шағым сирек "код жабық" болады. Әдетте бұл нақты байқау: күтпеген жерге хабарласатын клиент, шығарылым жазбаларынан өзгеше нұсқа, немесе туннельге қажет болуы тиіс мөлшерден көп талап ететін қолдау процесі. Осы тармақтардың әрқайсысы басқа құрамдас бөлікті меңзейді.
Клиенттен күтпеген желілік трафик — клиенттің бастапқы кодының мәселесі және оған байланысты ашатын код жолын оқу арқылы жауап беруге болады. Нұсқа сәйкессіздігі — қаптау мәселесі. Жеке басын куәландыратын құжаттарды талап ететін қолдау процесі — аккаунт жүйесінің мәселесі, оны ешбір клиенттік аудит шешпейді.
Құрамдас бөлікті атау бұлыңғыр сенімсіздікті нақты тексеріске айналдырады. Нақты тексеріске жауап беруге, онымен дауласуға немесе оны жабуға болады. Балама — келесі қадамы жоқ тұрақты күдік.
Шолу қай жерге жете алмайды және оның орнына не істеу керек
Провайдердің серверлерінде сақтау клиенттің қолжетімділігінен тыс. Төлем порталының, алаяқтықты тексеретін мердігердің немесе тіркемелерді сақтайтын қолдау қызметінің мінез-құлқы да солай. "Біз қызметке аудит жасадық" деңгейіне дейін созылған клиенттік шолу дәлелдер қолдамайтын тұжырым жасайды.
Оператордың сақтау және сұраныстар туралы жариялағанын оқыңыз, күнді белгілеңіз және оны өлшеу емес, мүдделі тараптың мәлімдемесі ретінде қарастырыңыз. Бұл дәлелдің әлсізрек нысаны, ал айырмашылықты ашық айту оны қайта әңгімелеуде көтеруден пайдалырақ.
Содан кейін қолыңыздағыны бірнеше кірістің бірі ретінде пайдаланыңыз: орнатылған шығарылымның ұқсастығы, бағдарламалық жасақтаманың қолдауда екендігі, клиенттің қалай конфигурацияланғаны және оператордың өз жүйелері туралы айтқаны. Ашық код бұл бағалауды бір тұста күшейтеді. Ол қалғанын алмастырмайды.
Аудит туралы тұжырым әрдайым өз құрамдас бөліктері мен нұсқаларын атауы керек. Егер есеп қай репозиторий мен қай билдті тексергенін айта алмаса, ол өнімді емес, ниетті сипаттайды.