VPN portāla instalētājs: pakotne, profils vai pārbūve?

VPN portāla lejupielādes poga atgriež tieši vienu failu, un šis fails var būt divas ļoti atšķirīgas lietas: gatavs piegādātāja instalētājs ar konfigurācijas profilu, kas ceļo tam līdzās, vai būvējums, ko organizācija pati salika. Lapa abos gadījumos izskatās vienādi, tāpēc poga nevar pateikt, kurš jums ir. Aiz tās stāv trīs jautājumi — kas publicēja izpildāmo failu, kādu konfigurāciju ieraksta instalācija un kas to labo, kad pienāk nākamā klienta versija. Uz pirmo atbildat no artefakta metadatiem, uz otro no pakotnes satura, bet uz trešo tikai no komandas, kurai pieder ieviešana.

Pārlūka slēdzene pārklāj pārsūtīšanu, nevis artefaktu.

Ko lejupielādes galapunkts patiešām atgriež

Lielākā daļa portālu lejupielādes pieprasījumu nodod mazam apstrādātājam, kas vai nu straumē saglabātu failu, vai arī saliek failu uz vietas, un pēc tam pirms atbildes aiziešanas nosaka faila nosaukumu un satura tipu. Tas, kas pienāk, ir konteiners: MSI, PKG, DEB vai RPM, vai pašizvakojošs ietvars ap vienu no tiem. Iekšā ir klienta binārais fails, un nekas faila nosaukumā ticami nepasaka, vai šis binārais nāca no piegādātāja vai no iekšējas būvēšanas plūsmas. Fails ar nosaukumu client-setup.exe reģistrē nosaukšanas lēmumu, nevis izcelsmes faktu.

Salīdziniet lejupielādētos baitus ar piegādātāja publicēto kontrolsummu. Neatbilstība nepierāda ļaunprātību; tā pierāda, ka fails nav piegādātāja būvējums, un tieši šī atšķirība ir tā, kuras dēļ ir vērts rīkoties.

Kur profils nonāk klientā

Iepriekš aizpildīti iestatījumi parasti ceļo kā atsevišķs fails, ko instalētājs kopē uz ceļu katram lietotājam vai katrai mašīnai: JSON vai XML profils Windows, konfigurācijas profils macOS, fragments /etc Linux. Šī faila vērtības — vārtejas resursdatoru nosaukumi, uzticības enkuri, dažreiz reģistrācijas materiāls — pirmajā palaišanā kļūst par klienta noklusējuma vērtībām. Tāpēc viena lejupielāde var nest gan noslēpumus, gan kodu.

Jautājiet, ko atjaunināšanas ceļš dara ar profilu. Atkarībā no iepakojuma tas var pārdzīvot klienta atjauninājumu, tikt ar to pārrakstīts vai neizturēt shēmas validāciju jaunajā versijā.

Ko parakstu ķēde nepierāda

Koda parakstīšana saista izdevēja identitāti ar faila jaucējvērtību, un Windows Authenticode laika zīmogs ļauj parakstam dzīvot ilgāk par sertifikātu, kas to radīja. Derīgs rezultāts atbild uz diviem jautājumiem: kurš izdevējs parakstīja šos baitus un vai tie pēc tam mainījās. Tas neuzskaita instalētāja pakalpojumus, reģistra ierakstus vai komplektā iekļautos draiverus un neizlemj, vai šim izdevējam šeit uzticēties. Microsoft Authenticode dokumentācija apraksta mehānismu un ir skaidra par šo šauro tvērumu.

Portāla autentifikācija atbild uz trešo jautājumu: vai sesija sasniedza paredzēto serveri. Trīs dažādas pārbaudes, trīs dažādi kļūmes režīmi.

Pārbaudiet artefaktu, pirms kāds to palaiž

Novietojiet failu izolētā mašīnā un izlasiet tā metadatus, pirms kaut ko izpildāt. Šīs komandas atbild uz izdevēja jautājumu trijās galvenajās platformās.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Lasiet parakstītāja subjektu, nevis tikai statusa vārdu. Iekšēja sertifikātu iestāde, kas paraksta iekšēju būvējumu, ir gaidāma; tas pats sertifikāts uz pakotnes, kas pretendē būt piegādātāja izlaidums, nav.

Pakotnei tikai ar profilu atveriet arhīvu un izturieties pret katru iegulto resursdatora nosaukumu un atslēgu kā datiem, par kuriem jāatskaitās. Ja profils satur kaut ko atkārtoti izmantojamu, izplatīšana pa portālu to pārvērš koplietotā noslēpumā ar ieviešanas grafiku.

Īpašumtiesību noteikšana pirms ieviešanas

Aiz pēdējā jautājuma nav nevienas komandas. Noskaidrojiet, kas atjaunina artefaktu, kad piegādātājs izlaiž jaunu klientu, kam pieder iekšējā būvējuma parakstīšanas atslēga un kā profils tiek rotēts, kad galapunkts pārvietojas. Pierakstiet šos vārdus blakus lejupielādes saitei.

Ja neviens nav šīs atbildes īpašnieks, lejupielāde ir izplatīšanas kanāls bez uzturēšanas līguma, un tas ir atradums, par kuru ir vērts ziņot.