Күзгүдөн VPN орноткуч? Адегенде чыгаруучуну текшериңиз

Жүктөө каналы кайсы код иштешин жана аны ким жаңырта аларын аныктайт. Адегенде кол тамганы, текшерүү суммасынын булагын жана профилди чыгарганды текшериңиз.

Туннель иштеди, интерфейс ачылды жана сессия бир жума бою туруктуу болду. Булардын эч бири орноткучту ким курганын айтпайт. VPN кардары маршруттарды кайра жазуу жана каттоо маалыматтарын окуу үчүн жетиштүү укуктар менен иштейт, ошондуктан чыгаруучу коркунуч моделинин бөлүгү, түшүндүрмө эмес.

Текшерүүлөрдү тартип менен аткарыңыз жана биринчи ийгиликсиз болгон жерде токтоңуз. Алар арзан, ал эми ар бири башка кемчиликти жабат.

Биринчи кадам: Долбоор атаган каналдан жүктөңүз

Ар бир долбоор өзүнүн чыгарылыштары кайда экенин документтештирет, ал эми ошол баракча шилтеме болуп саналат. Коомчулук куруулары, дүкөн тизмелери жана жеткирүүчү порталдары — баары мыйзамдуу каналдар. Алардын ар бири долбоордун өзү көрсөткөндө гана мыйзамдуу. Бул сынак, жана ал расмий көрүнүү менен бирдей эмес.

Долбоордун атын алган файл эч нерсени далилдебейт. Орноткучтун атын өзгөртүү бир секунддук операция, жана издөө натыйжасы биринчи көрсөткөн нерсе — ат.

Экинчи кадам: Кол тамганы белгилүү инсанга каршы текшериңиз

Кол тамганы текшерүү тар суроого жакшы жооп берет. Ал белгилүү бир инсан бул бинардык файлга кол койгонун жана файл ошондон бери өзгөрбөгөнүн айтат. Ал бир суроого жооп берет, экинчисинен баш тартат. Ал ошол инсан сиз ишенүүнү каалаган инсанбы, аны айта албайт.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Инсанды окуңуз, статус сөзүн эмес. Жарактуу сертификаты бар байланышы жок иштеп чыгуучу да жарактуу кол тамга жаратат. Таанылган чыгаруучу тууралуу билдирген операциялык тутум сизге бирөө сертификатка төлөгөнүн гана айтты.

Үчүнчү кадам: Хэшти көз карандысыз булак менен салыштырыңыз

Текшерүү суммасы маалымдама мааниге дал келүүнү далилдейт. Эгер маалымдама жүктөөнүн жанында келсе, экөө тең бирге туура эмес болушу мүмкүн, ал эми салыштыруу баары бир өтөт. Бул көпчүлүк окуу куралдарындагы ийгиликсиздик үлгүсү. Хэш сүрөттөгөн файл менен бир баракта турат.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Долбоор кол коюлган текшерүү суммаларын же кол коюлган чыгарылыш манифестин жарыялаганда, кол тамганы ар бир файлга өзүнчө эмес, тизмеге текшериңиз. Ошентип бир ишенимдүү шилтеме бүт чыгарылышты камтыйт.

Орнотуудан кийин: Жаңыртуу жолун сактаңыз

Колдоого алынган канал орнотуу бүткөндөн кийин да маанилүү бойдон калат. Кайра таңгылган куруулар өз жаңырткычын алып жүрүшү мүмкүн, ал эми ошол жаңырткыч кийинки айда эмне иштей турганын чечет. Эч качан жаңыртылбаган куруу коопсузураак эмес. Ал жөн гана эскирээк.

Кардар кантип жаңыртылышы керектигин жана бул кадамды башкаруу тутуму аткарарын жазып алыңыз. Эгер жооп форумдан кол менен жүктөө болсо, жеткирүү чынжыры тууралуу суроо эч качан чындап жабылган эмес.

Эки келип чыгуу, бир эмес

Кардарды иштеп чыгуучу менен профилди чыгаруучу өзүнчө тараптар. Расмий кардардын байланышы жок оператордун профилин импорттоосу кадимки кырдаал, ал эми профил өзүнүн текшерүүсүнө татыктуу: аны ким чыгарды, кантип жеткирилди жана сервер сертификаты күткөн атка дал келеби.

Эки келип чыгууну тең жазууларыңызда таанылаткыдай сактаңыз. Кардар алмаштырылган же түзмөк камдык көчүрмөдөн калыбына келтирилген учурда, ушул эки сап белгисиз куруунун же белгисиз профилдин калган маалыматтар менен кайтып келишине жол бербейт.

Тектеш макалалар