Ar ta VPN programa yra oficialus leidimas, ar imitacija?

Imituojanti programinė įranga kopijuoja pavadinimus, piktogramas ir ekrano kopijas, o jungiasi pakankamai gerai, kad atrodytų įtikinamai. Tai, kad tunelis veikia, nieko neįrodo, nes klausimas yra, kas parašė dvejetainį failą. Traktuokite tai kaip tapatybės patikrinimą, o ne saugos auditą, ir kiekvieną atskaitos reikšmę imkite iš kanalo, kurį pasirinkote patys, o ne iš pačios programos puslapio. Toliau pateikiami penki patikrinimai, ir kiekvienas gali nepavykti, kol kiti praeina. Atlikite juos iš eilės, nes vėlesnis patikrinimas negali išgelbėti ankstesnio.

Atskaitos reikšmes imkite iš kanalo, kurį pasirinkote patys

Prieš žiūrėdami, kas įdiegta, atidarykite oficialias projekto atsisiuntimo instrukcijas arba savo organizacijos valdomą programinės įrangos kanalą. Užsirašykite numatomą parduotuvės leidėją, paketo ar diegėjo tapatybę ir palaikomas platformas, tada laikykite tą užrašą ten, kur rasite jį kitą kartą atnaujindami. Paieškos rezultatas ar mokama vieta nėra tas kanalas, o mokama vieta yra virš organinio rezultato būtent todėl, kad žmonės spusteli pirmą atitikmenį. Patikrinę pažymėkite puslapį, kad kitas atsisiuntimas prasidėtų nuo sprendimo, o ne nuo pasikartojančios paieškos.

Veidrodis ar trečiosios šalies paketų saugykla taip pat yra kanalas, ir jis patikimas tik tiek, kiek patikimas jo operatorius. Užrašykite, kurį naudojote, nes būtent šią detalę žmonės pamiršta tarp atnaujinimų.

Palyginkite įdiegtą leidėją, o ne pavadinimą

Remkitės pačios platformos parašų ir programų įrašais, kur jie yra, tada perskaitykite versiją, atnaujinimo kelią ir programos prašytus leidimus. Pastebėti galiojantį parašą nėra tas pats, kas pastebėti lauktą leidėją, nes sertifikatas liudija tik tai, kad dvejetainį failą pasirašė tas, kas jį turi. Niekada negirdėtos įmonės parašas vis tiek yra galiojantis parašas, todėl patikrinimas turi įvardyti tą šalį, kurią turėjote omenyje. Diegėjas, kuris atsineša papildomos programinės įrangos, prašo sertifikato arba atidaro netikėtą paskyros langą, reikalauja paaiškinimo iš paties produkto dokumentacijos.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Atlikite platformą atitinkantį patikrinimą ir palyginkite jo išvestį su atskaitos užrašu, padarytu pirmame žingsnyje. Leidėjo lauko neatitikimas informatyvesnis už bet kokį vizualinį panašumą, nes piktogramą nukopijuoti nieko nekainuoja. Jei išvestis įvardija organizaciją, kurios niekur nėra projekto dokumentacijoje, sustokite ten ir neprisijunkite.

Ką iš tikrųjų įrodo įdiegtas parašas

Kai projektas skelbia kontrolines sumas, parašus arba leidimo raktus, pereikite visą dokumentuotą procedūrą, įskaitant dalį apie atskaitos rakto gavimą. Kontrolinė suma, atspausdinta tame pačiame puslapyje kaip atsisiuntimas, įrodo tik tai, kad failas atitinka tą puslapį, o tai silpnesnis teiginys, nei atrodo. Naudingas klausimas yra, ar parašas susiejamas su tapatybe, kurią dokumentuoja projektas, keliu, kurio imitacija nekontroliuoja. Būtent šį žingsnį žmonės sutrumpina iki klausimo, ar failas apskritai turi parašą.

Raktas, paimtas iš raktų serverio, ir README atspausdintas pirštų atspaudas nėra lygiaverčiai įrodymai. Nuspręskite, kurį iš tikrųjų naudojote, prieš vadindami failą patikrintu.

Kai programa tikra, o profilis ne

Klientas ir serverio profilis ateina iš dviejų skirtingų išdavėjų, ir jų painiojimas yra atskira klaida nuo netinkamo dvejetainio failo įdiegimo. Vieno projekto prižiūrimas OpenVPN leidimas mielai įkels nesusijusio operatoriaus parašytą konfigūraciją, ir tai normalus elgesys, o ne kompromitavimo įrodymas. Galioja ir priešingai: teisėtas profilis nepadaro neoficialaus kliento patikimu. Tikrinkite kiekvieną objektą pagal jo paties šaltinį ir niekada neleiskite veikiančiam ryšiui sujungti dviejų patikrinimų į vieną.

Prieš imdamiesi veiksmų paklauskite, kuris iš dviejų objektų iš tikrųjų kelia abejonių, nes sprendimas skiriasi. Blogas klientas reiškia diegimą iš naujo, o blogas profilis — vieno failo ištrynimą ir jo išdavimą iš naujo.

Veikite esant neapibrėžtumui, tada tvarkingai sutvarkykite

Jei tapatybė lieka neaiški, nustokite teikti prisijungimo duomenis ir gaukite programinę įrangą savarankiškai per patikrintą kanalą, kurį pažymėjote. Vadovaukitės platformos nurodymais dėl nepageidaujamų programų, o ne trinkite aplanką ir tikėkitės. Tada užrašykite priimtą leidėją, versiją ir patikrinimo metodą, kad kitą atnaujinimą būtų galima palyginti su faktu, o ne su atmintimi.

Po teisėto pakeitimo peržiūrėkite senus profilius ir suteiktus leidimus tiek kliente, tiek operacinėje sistemoje. Atsisiųsto failo pašalinimas palieka įdiegtą programą vietoje, o senas profilis gali pergyventi jį sukūrusį klientą ir toliau rodyti į galinį tašką, kurio niekas nepalaiko. Oficialus WireGuard diegimo puslapis yra geras pavyzdys to, kokią atskaitą verta pasilikti: tai paties kūrėjo sąrašas, o ne veidrodis.