VPN diegimo programa iš veidrodžio? Pirmiausia patikrinkite leidėją

Tunelis veikė, sąsaja atsirado, o sesija išliko stabili visą savaitę. Niekas iš to nepasako, kas sukūrė diegimo programą. VPN klientas veikia su pakankamomis teisėmis perrašyti maršrutus ir skaityti prisijungimo duomenis, todėl leidėjas yra grėsmių modelio dalis, o ne išnaša.

Atlikite patikrinimus iš eilės ir sustokite ties pirmuoju, kuris nepavyksta. Jie pigūs, ir kiekvienas uždaro kitą spragą.

Pirmas žingsnis: Atsisiųskite iš kanalo, kurį nurodo projektas

Kiekvienas projektas dokumentuoja, kur yra jo leidimai, ir tas puslapis yra atskaitos taškas. Bendruomenės kompiliacijos, parduotuvių įrašai ir tiekėjų portalai yra teisėti kanalai. Kiekvienas jų teisėtas tik tada, kai pats projektas į jį nurodo. Tai yra testas, ir jis nėra tas pats, kas atrodyti oficialiai.

Failas, pavadintas projekto vardu, nieko neįrodo. Diegimo programos pervadinimas yra vienos sekundės operacija, ir būtent pavadinimą paieškos rezultatas parodo pirmiausia.

Antras žingsnis: Patikrinkite parašą pagal žinomą tapatybę

Parašo patikrinimas gerai atsako į siaurą klausimą. Jis nurodo, kad tam tikra tapatybė pasirašė šį dvejetainį failą ir kad failas nuo to laiko nepasikeitė. Jis atsako į vieną klausimą ir atsisako kito. Jis negali pasakyti, ar ta tapatybė yra ta, kuria norėjote pasitikėti.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Skaitykite tapatybę, o ne būsenos žodį. Nesusijęs kūrėjas su galiojančiu sertifikatu sukuria galiojantį parašą. Operacinė sistema, pranešanti apie pripažintą leidėją, pasakė tik tai, kad kažkas sumokėjo už sertifikatą.

Trečias žingsnis: Palyginkite maišą su nepriklausomu šaltiniu

Kontrolinė suma įrodo atitiktį atskaitos vertei. Jei atskaitos vertė atėjo šalia atsisiuntimo, abi gali būti neteisingos kartu, o palyginimas vis tiek praeina. Tai yra daugumos pamokų nesėkmės modelis. Maišas yra tame pačiame puslapyje kaip ir failas, kurį jis aprašo.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Kai projektas skelbia pasirašytas kontrolines sumas arba pasirašytą leidimo manifestą, tikrinkite parašą sąraše, o ne kiekviename faile atskirai. Taip viena patikima atskaita apima visą leidimą.

Po diegimo: Išsaugokite atnaujinimo kelią

Palaikomas kanalas lieka svarbus ir pasibaigus diegimui. Perpakuotos kompiliacijos gali turėti savo naujintuvą, ir tas naujintuvas nusprendžia, kas veiks kitą mėnesį. Kompiliacija, kuri niekada neatnaujinama, nėra saugesnė. Ji tiesiog senesnė.

Užsirašykite, kaip klientas turėtų būti atnaujinamas ir ar tą žingsnį valdo valdymo sistema. Jei atsakymas yra rankinis atsisiuntimas iš forumo, tiekimo grandinės klausimas niekada nebuvo tikrai uždarytas.

Dvi kilmės, o ne viena

Kliento kūrėjas ir profilio išdavėjas yra atskiros šalys. Oficialus klientas, importuojantis nesujungto operatoriaus profilį, yra įprasta tvarka, o profilis nusipelno savo patikrinimo: kas jį išdavė, kaip jis buvo pristatytas ir ar serverio sertifikatas atitinka tikėtiną pavadinimą.

Laikykite abi kilmes atpažįstamas savo užrašuose. Kai klientas pakeičiamas ar įrenginys atkuriamas iš atsarginės kopijos, būtent šios dvi eilutės neleidžia nežinomai kompiliacijai ar nežinomam profiliui grįžti su likusiais duomenimis.