Vai šī VPN lietotne ir oficiālā versija vai viltojums?

Viltotā programmatūra kopē nosaukumus, ikonas un ekrānuzņēmumus, un tā savienojas pietiekami labi, lai izskatītos pārliecinoši. Tas, ka tunelis strādā, neko nepierāda, jo jautājums ir, kas sarakstīja bināro failu. Uztveriet to kā identitātes pārbaudi, nevis drošības auditu, un ņemiet katru atsauces vērtību no kanāla, kuru izvēlējāties paši, nevis no pašas lietotnes lapas. Tālāk seko piecas pārbaudes, un katra var neizdoties, kamēr pārējās iztur. Veiciet tās secībā, jo vēlāka pārbaude nevar glābt agrāku.

Iegūstiet atsauces vērtības no kanāla, kuru izvēlējāties

Atveriet projekta oficiālos lejupielādes norādījumus vai savas organizācijas pārvaldīto programmatūras kanālu, pirms skatāties, kas ir instalēts. Pierakstiet gaidāmo veikala izdevēju, pakotnes vai instalētāja identitāti un atbalstītās platformas, pēc tam glabājiet šo piezīmi tur, kur to atradīsiet nākamajā atjaunināšanā. Meklēšanas rezultāts vai apmaksāta izvietošana nav tas kanāls, un maksīgā izvietošana atrodas virs organiskā rezultāta tieši tāpēc, ka cilvēki klikšķina uz pirmo atbilstību. Pēc pārbaudes pievienojiet lapu grāmatzīmēm, lai nākamā lejupielāde sāktos ar lēmumu, nevis ar atkārtotu meklēšanu.

Spogulis vai trešās puses pakotņu krātuve arī ir kanāls, un tas ir uzticams tikai tik, cik uzticams ir tā operators. Pierakstiet, kuru izmantojāt, jo tieši šo detaļu cilvēki aizmirst starp atjauninājumiem.

Salīdziniet instalēto izdevēju, nevis nosaukumu

Paļaujieties uz pašas platformas parakstu un lietotņu ierakstiem, kur tie pastāv, pēc tam izlasiet versiju, atjaunināšanas ceļu un lietotnes pieprasītās atļaujas. Derīga paraksta pamanīšana nav tas pats, kas gaidītā izdevēja pamanīšana, jo sertifikāts apliecina tikai to, ka bināro failu parakstījis tā turētājs. Nekad nedzirdēta uzņēmuma paraksts joprojām ir derīgs paraksts, tāpēc pārbaudei ir jānosauc tā puse, kuru domājāt. Instalētājs, kas līdzi nes papildu programmatūru, pieprasa sertifikātu vai atver negaidītu konta logu, prasa skaidrojumu no paša produkta dokumentācijas.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Izpildiet platformai atbilstošo pārbaudi un salīdziniet tās izvadi ar atsauces piezīmi, kas veikta pirmajā solī. Izdevēja lauka neatbilstība ir informatīvāka par jebkuru vizuālu līdzību, jo ikonas kopēšana neko nemaksā. Ja izvade nosauc organizāciju, kura nekur neparādās projekta dokumentācijā, apstājieties tur un neesiet pieslēdzies.

Ko instalētais paraksts patiešām pierāda

Kad projekts publicē kontrolsummas, parakstus vai izlaiduma atslēgas, izejiet cauri visai dokumentētajai procedūrai, tostarp daļai par atsauces atslēgas iegūšanu. Kontrolsumma, kas iespiesta tajā pašā lapā kā lejupielāde, pierāda tikai to, ka fails atbilst šai lapai, un tas ir vājāks apgalvojums, nekā izskatās. Noderīgais jautājums ir, vai paraksts ķēdējas līdz identitātei, ko dokumentē projekts, pa ceļu, kuru viltojums nekontrolē. Tieši šo soli cilvēki saīsina līdz jautājumam, vai failam vispār ir paraksts.

Atslēga, kas iegūta no atslēgu servera, un README iespiests pirksta nospiedums nav līdzvērtīgi pierādījumi. Izlemiet, kuru patiešām izmantojāt, pirms saucat failu par pārbaudītu.

Kad lietotne ir īsta, bet profils nav

Klients un servera profils nāk no diviem dažādiem izdevējiem, un to sajaukšana ir atsevišķa kļūda no nepareiza binārā faila instalēšanas. Viena projekta uzturēta OpenVPN versija labprāt ielādēs konfigurāciju, ko rakstījis nesaistīts operators, un tā ir normāla uzvedība, nevis kompromitācijas pierādījums. Der arī pretējais: likumīgs profils nepadara neoficiālu klientu uzticamu. Pārbaudiet katru objektu pret tā paša avotu un nekad neļaujiet strādājošam savienojumam sapludināt divas pārbaudes vienā.

Pirms rīkošanās pajautājiet, kurš no diviem objektiem patiešām ir apšaubāms, jo risinājums atšķiras. Slikts klients nozīmē pārinstalēšanu, bet slikts profils nozīmē viena faila dzēšanu un tā atkārtotu izsniegšanu.

Rīkojieties nenoteiktībā un pēc tam kārtīgi sakārtojiet

Ja identitāte paliek neskaidra, pārtrauciet piešķirt akreditācijas datus un iegūstiet programmatūru neatkarīgi pa pārbaudīto kanālu, kuru atzīmējāt grāmatzīmēs. Ievērojiet platformas norādījumus par nevēlamām lietotnēm, tā vietā lai dzēstu mapi un cerētu. Pēc tam pierakstiet pieņemto izdevēju, versiju un pārbaudes metodi, lai nākamo atjauninājumu varētu salīdzināt ar faktu, nevis ar atmiņu.

Pēc likumīgas aizstāšanas pārskatiet vecos profilus un piešķirtās atļaujas gan klientā, gan operētājsistēmā. Lejupielādētā faila atinstalēšana atstāj instalēto lietotni savā vietā, un vecs profils var pārdzīvot to radījušo klientu, joprojām norādot uz galapunktu, kuru neviens neuztur. WireGuard oficiālā instalēšanas lapa ir labs piemērs tam, kādu atsauci ir vērts paturēt: tā ir paša izstrādātāja saraksts, nevis spogulis.