VPN portalo diegimo programa: paketas, profilis ar perrinkimas?

VPN portalo atsisiuntimo mygtukas grąžina tiksliai vieną failą, ir tas failas gali būti du labai skirtingi dalykai: paruošta tiekėjo diegimo programa su šalia keliaujančiu konfigūracijos profiliu arba organizacijos pačios surinktas rinkinys. Puslapis abiem atvejais atrodo vienodai, todėl mygtukas negali pasakyti, kurį turite. Už jo slypi trys klausimai — kas paskelbė vykdomąjį failą, kokią konfigūraciją įrašo diegimas ir kas jį taiso, kai pasirodo kita kliento versija. Į pirmąjį atsakote iš artefakto metaduomenų, į antrąjį iš paketo turinio, o į trečiąjį tik iš komandos, kuri valdo diegimą.

Naršyklės spyna uždengia perdavimą, o ne artefaktą.

Ką iš tikrųjų grąžina atsisiuntimo taškas

Dauguma portalų atsisiuntimo užklausą perduoda mažam apdorotojui, kuris arba transliuoja išsaugotą failą, arba surinkdamas failą vietoje, tada nustato failo pavadinimą ir turinio tipą prieš atsakymui išvykstant. Tai, kas atvyksta, yra konteineris: MSI, PKG, DEB arba RPM, arba save išskleidžianti pakuotė aplink vieną iš jų. Viduje yra kliento dvejetainis failas, ir niekas failo pavadinime patikimai nesako, ar tas dvejetainis atėjo iš tiekėjo, ar iš vidinės kūrimo grandinės. Failas pavadinimu client-setup.exe užfiksuoja pavadinimo sprendimą, o ne kilmės faktą.

Palyginkite atsisiųstus baitus su tiekėjo paskelbta kontroline suma. Neatitikimas neįrodo piktavališkumo; jis įrodo, kad failas nėra tiekėjo rinkinys, ir būtent tas skirtumas vertas veiksmų.

Kur profilis patenka į klientą

Iš anksto užpildyti nustatymai paprastai keliauja atskiru failu, kurį diegimo programa nukopijuoja į kiekvieno naudotojo ar kiekvienos mašinos kelią: JSON arba XML profilis Windows, konfigūracijos profilis macOS, fragmentas /etc Linux sistemoje. To failo reikšmės — tinklų sietuvos pagrindinio kompiuterio vardai, pasitikėjimo inkarai, kartais registracijos medžiaga — pirmojo paleidimo metu tampa kliento numatytosiomis reikšmėmis. Štai kodėl vienas atsisiuntimas gali nešti ir paslapčių, ir kodo.

Paklauskite, ką atnaujinimo kelias daro su profiliu. Priklausomai nuo pakavimo, jis gali išgyventi kliento atnaujinimą, būti jo perrašytas arba nepraeiti schemos patikros naujoje versijoje.

Ko neįrodo parašų grandinė

Kodo pasirašymas susieja leidėjo tapatybę su failo maišu, o Windows Authenticode laiko žyma leidžia parašui gyventi ilgiau nei jį sukūrusiam sertifikatui. Galiojantis rezultatas atsako į du klausimus: kuris leidėjas pasirašė šiuos baitus ir ar jie vėliau pasikeitė. Jis neišvardija diegimo programos paslaugų, registro įrašų ar pridėtų tvarkyklių ir nenusprendžia, ar tuo leidėju čia reikėtų pasitikėti. Microsoft Authenticode dokumentacija aprašo mechanizmą ir yra aiški dėl šios siauros apimties.

Portalo autentifikavimas atsako į trečią klausimą: ar sesija pasiekė numatytą serverį. Trys skirtingi patikrinimai, trys skirtingi gedimo režimai.

Patikrinkite artefaktą prieš kam nors jį paleidžiant

Padėkite failą izoliuotoje mašinoje ir perskaitykite jo metaduomenis prieš ką nors vykdydami. Šios komandos atsako į leidėjo klausimą trijose pagrindinėse platformose.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Skaitykite pasirašiusiojo subjektą, o ne vien būsenos žodį. Vidinė sertifikatų institucija, pasirašanti vidinį rinkinį, yra tikėtina; tas pats sertifikatas pakete, kuris teigia esąs tiekėjo leidimas, nėra.

Paketui tik su profiliu atidarykite archyvą ir kiekvieną įterptą pagrindinio kompiuterio vardą bei raktą traktuokite kaip duomenis, už kuriuos reikia atsiskaityti. Jei profilyje yra ką nors daugkartinio, platinimas per portalą paverčia tai bendra paslaptimi su diegimo grafiku.

Nuosavybės nustatymas prieš diegimą

Už paskutinio klausimo nėra jokios komandos. Išsiaiškinkite, kas atnaujina artefaktą, kai tiekėjas išleidžia naują klientą, kas turi vidinio rinkinio pasirašymo raktą ir kaip profilis sukamas, kai galinis taškas pasislenka. Užrašykite tuos vardus prie atsisiuntimo nuorodos.

Jei niekas neturi to atsakymo, atsisiuntimas yra platinimo kanalas be priežiūros sutarties, ir tai yra radinys, kurį verta pranešti.