VPN порталының орнатушысы: пакет, профиль әлде қайта құрастыру ма?

VPN порталының жүктеу түймесі дәл бір файл қайтарады, және ол файл екі мүлде басқа нәрсе болуы мүмкін: жанында конфигурация профилі жүретін жеткізушінің дайын орнатушысы, немесе ұйым өзі құрастырған құрылым. Бет екі жағдайда да бірдей көрінеді, сондықтан түйме қайсысы бар екенін айта алмайды. Оның артында үш сұрақ тұр — орындалатын файлды кім жариялады, орнату қандай конфигурация жазады және келесі клиент шығарылымы келгенде оны кім жөндейді. Біріншісіне артефактің метадеректерінен, екіншісіне буманың мазмұнынан, ал үшіншісіне тек орналастыруға ие командадан жауап бересіз.

Браузер құлпы тасымалды жабады, артефактіні емес.

Жүктеу соңғы нүктесі шын мәнінде нені қайтарады

Көптеген порталдар жүктеу сұранысын шағын өңдеушіге береді, ол сақталған файлды ағынмен береді немесе файлды сол жерде жинайды, содан кейін жауап шықпас бұрын файл атауы мен мазмұн түрін белгілейді. Келетіні — контейнер: MSI, PKG, DEB немесе RPM, немесе солардың біреуінің айналасындағы өзін-өзі шығаратын қаптама. Ішінде клиенттің бинарлық файлы бар, және файл атауындағы ештеңе бұл бинарлық жеткізушіден келді ме, әлде ішкі құрастыру желісінен келді ме, соны сенімді түрде айта алмайды. client-setup.exe атты файл атау шешімін жазады, шығу тегі фактісін емес.

Жүктелген байттарды жеткізуші жариялаған бақылау қосындысымен салыстырыңыз. Сәйкессіздік қасақаналықты дәлелдемейді; ол файлдың жеткізушінің құрылымы еместігін дәлелдейді, және әрекет етуге тұрарлық айырмашылық осы.

Профиль клиентке қайда кіреді

Алдын ала толтырылған параметрлер әдетте жеке файл ретінде жүреді, орнатушы оны әр пайдаланушыға немесе әр машинаға арналған жолға көшіреді: Windows-та JSON немесе XML профилі, macOS-та конфигурация профилі, Linux-та /etc астындағы үзінді. Сол файлдағы мәндер — шлюз хост атаулары, сенім бекеттері, кейде тіркеу материалы — бірінші іске қосуда клиенттің әдепкі мәндеріне айналады. Сондықтан бір жүктеу кодпен қатар құпияларды да тасымалдай алады.

Жаңарту жолы профильмен не істейтінін сұраңыз. Қаптамаға байланысты ол клиент жаңартуынан өтуі мүмкін, онымен үстінен жазылуы мүмкін немесе жаңа нұсқада схеманы тексеруден өтпей қалуы мүмкін.

Қолтаңба тізбегі нені дәлелдемейді

Кодқа қол қою баспагердің жеке басын файл хэшімен байланыстырады, ал Windows-та Authenticode уақыт белгісі қолтаңбаға оны жасаған сертификаттан ұзағырақ өмір сүруге мүмкіндік береді. Жарамды нәтиже екі сұраққа жауап береді: осы байттарға қай баспагер қол қойды және олар кейін өзгерді ме. Ол орнатушының қызметтерін, тізілім жазбаларын немесе бірге келетін драйверлерді санамайды және осы баспагерге осында сену керек пе, оны шешпейді. Microsoft-тың Authenticode құжаттамасы механизмді сипаттайды және осы тар ауқым туралы анық айтады.

Портал аутентификациясы үшінші сұраққа жауап береді: сессия көзделген серверге жетті ме. Үш түрлі тексеру, үш түрлі сәтсіздік режимі.

Әркім орындамас бұрын артефактіні тексеріңіз

Файлды оқшауланған машинаға қойып, бірдеңе орындамас бұрын оның метадеректерін оқыңыз. Бұл командалар үш негізгі платформада баспагер сұрағына жауап береді.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Тек мәртебе сөзін емес, қол қоюшының субъектісін оқыңыз. Ішкі сертификат органының ішкі құрылымға қол қоюы күтіледі; жеткізушінің шығарылымы деп мәлімдейтін бумадағы сол сертификат күтілмейді.

Тек профильді бума үшін мұрағатты ашып, әр енгізілген хост атауы мен кілтін есепке алынуға тиіс деректер ретінде қараңыз. Егер профильде қайта пайдалануға болатын нәрсе болса, портал арқылы тарату оны орналастыру кестесі бар ортақ құпияға айналдырады.

Орналастыру алдында иелікті анықтау

Соңғы сұрақтың артында команда жоқ. Жеткізуші жаңа клиент жібергенде артефактіні кім жаңартады, ішкі құрылымның қол қою кілті кімде және соңғы нүкте ауысқанда профиль қалай айналады, соны анықтаңыз. Ол есімдерді жүктеу сілтемесінің жанына жазыңыз.

Егер бұл жауапқа ешкім ие болмаса, жүктеу техникалық қызмет көрсету шарты жоқ тарату арнасы, және бұл хабарлауға тұрарлық жағдай.