Дали таа VPN апликација е официјалната верзија или имитација?

Софтверот-имитација копира имиња, икони и слики од екранот и се поврзува доволно добро за да изгледа уверливо. Тоа што тунелот работи не е доказ за ништо, бидејќи прашањето е кој ја напишал бинарната датотека. Третирајте го ова како проверка на идентитет, а не како безбедносна ревизија, и земете ја секоја референтна вредност од канал што самите сте го избрале, а не од страницата на самата апликација. Следуваат пет проверки и секоја може да не успее додека другите поминуваат. Изведете ги по ред, бидејќи подоцнежна проверка не може да спаси претходна.

Земете ги референтните вредности од канал што самите сте го избрале

Отворете ги официјалните упатства за преземање на проектот или управуваниот софтверски канал на вашата организација, пред да погледнете што е инсталирано. Запишете го очекуваниот издавач во продавницата, идентитетот на пакетот или инсталатерот и поддржаните платформи, потоа чувајте ја таа белешка каде што ќе ја најдете при следното ажурирање. Резултат од пребарување или платено место не е тој канал, а платеното место стои над органскиот резултат токму затоа што луѓето кликнуваат на првото совпаѓање. Означете ја страницата кога ќе ја проверите, за да започне следното преземање со одлука, а не со повторено пребарување.

Огледало или складиште на пакети од трета страна е исто така канал и е доверливо онолку колку што е доверлив неговиот оператор. Запишете кое го користевте, бидејќи токму тој детаљ луѓето го забораваат меѓу ажурирањата.

Споредете го инсталираниот издавач, а не името

Потпрете се на сопствените записи на платформата за потписи и апликации каде што постојат, потоа прочитајте ја верзијата, патеката за ажурирање и дозволите што ги побара апликацијата. Забележувањето важечки потпис не е исто како забележувањето на издавачот што го очекувавте, бидејќи сертификатот потврдува само дека бинарната датотека ја потпишал оној што ја поседува. Потписот од компанија за која никогаш не сте слушнале е сѐ уште важечки потпис, затоа проверката мора да ја именува страната што сте ја мислеле. Инсталатерот што носи дополнителен софтвер, бара сертификат или отвора прозорец за сметка што не сте го очекувале, бара објаснување од сопствената документација на производот.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Изведете ја проверката што одговара на платформата и споредете го нејзиниот излез со референтната белешка од првиот чекор. Несовпаѓањето во полето за издавач е поинформативно од било каква визуелна сличност, бидејќи иконата не чини ништо за копирање. Ако излезот именува организација што никаде не се појавува во документацијата на проектот, застанете таму и не се најавувајте.

Што всушност докажува инсталираниот потпис

Кога проект објавува контролни суми, потписи или клучеви за издание, изминете ја целата документирана постапка, вклучително и делот за добивање на референтниот клуч. Контролната сума отпечатена на истата страница како преземањето докажува само дека датотеката одговара на таа страница, што е послаба тврдња отколку што изгледа. Корисното прашање е дали потписот се врзува со идентитетот што проектот го документира, по пат што имитацијата не го контролира. Токму овој чекор луѓето го скратуваат на прашањето дали датотеката воопшто има потпис.

Клуч земен од сервер за клучеви и отпечаток отпечатен во README не се рамноценти докази. Одлучете кој навистина сте го користеле пред да ја наречете датотеката проверена.

Кога апликацијата е вистинска, но профилот не е

Клиентот и серверскиот профил доаѓаат од два различни издавачи и нивното мешање е одделен неуспех од инсталирањето погрешна бинарна датотека. Издание на OpenVPN што го одржува еден проект без проблеми ќе вчита конфигурација напишана од неврзан оператор, и тоа е нормално однесување, а не доказ за компромитација. Важи и обратното: легитимен профил не го прави неофицијалниот клиент доверлив. Проверете го секој објект против неговиот сопствен извор и никогаш не дозволувајте работна врска да спои две проверки во една.

Прашајте кој од двата објекта е навистина под сомнение пред да постапите, бидејќи решението е различно. Лош клиент значи преинсталирање, додека лош профил значи бришење на една датотека и нејзино повторно издавање.

Постапете при неизвесност, потоа исчистете правилно

Ако идентитетот остане неизвесен, престанете да давате акредитиви и набавете го софтверот независно преку проверениот канал што го означивте. Следете ги упатствата на платформата за непосакувани апликации, наместо да избришете папка и да се надевате. Потоа запишете го издавачот, верзијата и методот на проверка што сте ги прифатиле, за да може следното ажурирање да се спореди со факт, а не со памтење.

По легитимна замена, прегледајте ги старите профили и доделените дозволи и во клиентот и во оперативниот систем. Деинсталирањето на преземената датотека ја остава инсталираната апликација на место, а стариот профил може да го надживее клиентот што го создал додека сѐ уште покажува на крајна точка што никој не ја одржува. Официјалната страница за инсталација на WireGuard е добар пример за видот референца што вреди да се чува: тоа е сопствената листа на развивачот, а не огледало.