Ачык коддуу VPN кардары: код эмнени далилдейт жана эмнени далилдей албайт
Ачык репозиторий булак код тууралуу далил, сиз орноткон билд же анын артындагы серверлер тууралуу эмес. Чыгарылышты дал келтириңиз, анан кароону кеңейтиңиз.
Булак жарыяланган, лицензия таза, бирок байланышты дагы эле учтан учка чейин текшерүү мүмкүн эмес. Бул ажырым кадимки нерсе жана скандал эмес. Кодду жарыялоо бир компонентти чакырылбаган адамдарга текшерүүгө жол ачат, жана бул реалдуу жана сейрек касиет. Бул сиз орноткон бинардык файл ошол коддон келген дегенди билдирбейт, же провайдер экинчи тарапта иштеткен нерсенин бири да каралган дегенди билдирбейт.
Компонентти продукттан бөлүңүз
Ачык код белгисин төрт нерсе алышы мүмкүн жана алардын баары ачык боло бербейт. Кардар колдонмосу — адамдар айткан нерсе. Анын астындагы протоколду ишке ашыруу башка артефакт, кээде китепкана, кээде дарактын ичиндеги код. Сервердик программалык камсыздоо үчүнчү, ал эми провайдердин өз инфраструктурасы, аккаунт порталы жана колдоо куралдары төртүнчү. Ар бири өз алдынча ачык же жабык болушу мүмкүн.
Ошондуктан "биздин колдонмо ачык коддуу" деген сыяктуу билдирүүлөр биринчи пунктту сүрөттөп, калганын жоопсуз калтырат, бул арамдык эмес, тескерисинче категориянын жылышы. Пайдалуу суроо: кайсы репозиторий, кайсы тегде, сиз таянып жаткан компонентке туура келет.
Бул айырма ошондой эле эмне үчүн бирдей ачык кардарлары бар эки продукт абдан башка кепилдиктерди сунуштай аларын түшүндүрөт. Кардар — сиз текшере алган бөлүк; оператордун жүрүм-туруму — башка ыкмалар менен баалоого тийиш бөлүк.
Орнотулган билдди жарыяланган тегге дал келтириңиз
Репозиторий — ниеттин жазуусу; дискиңиздеги бинардык файл — иштеген нерсе. Бул ажырымды жабуу механикалык көнүгүү жана ал жүктөө баракчасы жарнамалаганды эмес, так эмне орнотулганын аныктоодон башталат.
| Component | What inspection can show | What it leaves untouched |
|---|---|---|
| Client source | How profiles, packets and optional telemetry are handled | Whether the shipped binary matches that source |
| Build output | Whether a declared build reproduces a matching artefact | Whether the source is correct or the toolchain is clean |
| Server software | What the implementation is capable of logging | What the operator actually configures and retains |
| Account and support systems | Almost nothing, unless they are separately published | Everything about how those systems treat your data |
Пакет метаберилиштери сизге версияны жана келип чыгышын айтат, бул эскирген же алмаштырылган пакет сыяктуу жөнөкөй учурду жокко чыгарат. Бирок алар бул пакеттин кантип компиляцияланганын айтпайт, ал эми кайталануучу билддер дал ушул суроого жооп берүү үчүн бар. Кайталануучу билддер көз карандысыз тарапка ошол эле булактан кайра курууга жана натыйжаны байт-байт салыштырууга мүмкүндүк берет, ошентип шайкешсиздик шек эмес, далилге айланат.
Атүгүл кемчиликсиз дал келүү да адамдар күткөндөн азыраак нерсени далилдейт. Ал артефакттын булакка жана билд рецептине дал келгенин көрсөтөт, булактын кемчиликсиз экенин жана колдонулган куралдар тизмегинин ишенимдүү болгонун эмес. Экөөнү тең билүү пайдалуу, бирок бул ар башка ырастоолор.
dpkg -S /usr/bin/wg
apt-cache policy wireguard-tools
sha256sum /usr/bin/wgСимптом адатта кайдан башталат
Бул окууну пайда кылган дат адатта "код жабык" деп айтылбайт. Адатта бул конкреттүү байкоо: күтүлбөгөн жерге байланышкан кардар, чыгарылыш эскертүүлөрүнөн башка версия, же туннелге керектүүдөн көбүрөөк талап кылган колдоо процесси. Ушулардын ар бири башка компонентти көрсөтөт.
Кардардан күтүлбөгөн тармактык трафик — кардардын булак кодунун маселеси жана ага байланышты ачкан код жолун окуу менен жооп берүүгө болот. Версиянын шайкешсиздиги — таңгактоо маселеси. Жеке күбөлүк документтерди талап кылган колдоо процесси — аккаунт системасынын маселеси, аны эч бир кардардык аудит чечпейт.
Компонентти атоо бүдөмүк ишенимсиздикти конкреттүү текшерүүгө айландырат. Конкреттүү текшерүүгө жооп берүүгө, талашууга же жабууга болот. Альтернатива — кийинки кадамы жок туруктуу шек.
Кароо эмнеге жете албайт жана анын ордуна эмне кылуу керек
Провайдердин серверлеринде сактоо кардардын жетүүсүнөн тышкары. Төлөм порталынын, алдамчылыкты текшерүүчү мердигердин же тиркемелерди сактаган колдоо кызматынын жүрүм-туруму да ошондой. "Биз кызматка аудит жүргүздүк" деңгээлине чейин созулган кардардык кароо далилдер колдобогон ырастоо кылат.
Оператордун сактоо жана сурамдар тууралуу жарыялаганын окуңуз, күндү белгилеңиз жана ага өлчөм катары эмес, кызыкдар тараптын билдирүүсү катары мамиле кылыңыз. Бул далилдин алсызыраак формасы, ал эми айырманы ачык айтуу аны кайра айтууда көтөрүүдөн пайдалуураак.
Андан кийин колуңуздагыны бир нече киргизүүнүн бири катары колдонуңуз: орнотулган чыгарылыштын окшоштугу, программалык камсыздоонун колдоого алынышы, кардардын кантип конфигурацияланганы жана оператордун өз системалары тууралуу айтканы. Ачык код бул баалоону бир пунктта күчөтөт. Ал калганын алмаштырбайт.
Аудит тууралуу ырастоо ар дайым өз компоненттерин жана версияларын аташы керек. Эгер отчет кайсы репозиторий жана кайсы билд текшерилгенин айта албаса, ал продуктту эмес, ниетти сүрөттөйт.