VPN инсталер од огледало? Прво проверете го издавачот

Тунелот работеше, интерфејсот се појави и сесијата остана стабилна цела недела. Ништо од тоа не ви кажува кој го изградил инсталерот. VPN клиентот работи со доволно привилегии да ги препишува рутите и да ги чита акредитивите, затоа издавачот е дел од моделот на закани, а не фуснота.

Извршете ги проверките по ред и застанете на првата што не успева. Тие се евтини и секоја затвора различна празнина.

Прв чекор: Преземете од каналот што го наведува проектот

Секој проект документира каде се неговите изданија и таа страница е референца. Заедничките градби, продавниците и порталите на добавувачите се сите легитимни канали. Секој е легитимен само кога самиот проект упатува на него. Тоа е тестот и не е исто како да изгледа официјално.

Датотека именувана по проектот не докажува ништо. Преименувањето на инсталер е операција од една секунда, а името е она што резултатот од пребарување го покажува прво.

Втор чекор: Проверете го потписот против познат идентитет

Проверката на потписот добро одговара на тесно прашање. Таа ви кажува дека одреден идентитет го потпишал овој бинарен файл и дека файлот оттогаш не се променил. Одговара на едно прашање и одбива друго. Не може да ви каже дали тој идентитет е оној на кој сакавте да му верувате.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Читајте го идентитетот, а не зборот за статус. Неповрзан развивач со валиден сертификат произведува валиден потпис. Оперативен систем што пријавува признат издавач ви кажал само дека некој платил за сертификат.

Трет чекор: Споредете го хешот со независен извор

Контролната сума докажува совпаѓање со референтна вредност. Ако референцата пристигнала покрај преземањето, двете можат да бидат погрешни заедно, а споредбата сепак поминува. Тоа е начинот на неуспех во повеќето упатства. Хешот стои на истата страница како датотеката што ја опишува.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Кога проект објавува потпишани контролни суми или потпишан манифест за издание, проверете го потписот над списокот, а не над секоја датотека одделно. Така една доверлива референца го покрива целото издание.

По инсталацијата: Задржете ја патеката за ажурирање

Поддржаниот канал останува важен и по завршувањето на инсталацијата. Препакуваните градби можат да носат свој ажурирач, а тој ажурирач одлучува што ќе работи следниот месец. Градба што никогаш не се ажурира не е побезбедна. Таа е едноставно постара.

Запишете како клиентот треба да се ажурира и дали управувачки систем го поседува тој чекор. Ако одговорот е рачно преземање од форум, прашањето за синџирот на снабдување никогаш не било вистински затворено.

Два извора, не еден

Развивачот на клиентот и издавачот на профилот се одделни страни. Официјален клиент што увезува профил од неповрзан оператор е нормална поставеност, а профилот заслужува сопствена проверка: кој го издал, како бил доставен и дали сертификатот на серверот се совпаѓа со името што го очекувате.

Држете ги двата извора препознатливи во вашите белешки. Во моментот кога клиентот се заменува или уредот се враќа од резервна копија, токму тие две линии го спречуваат непозната градба или непознат профил да се вратат со останатите податоци.