Инсталатор на VPN портал: пакет, профил или повторна изградба?

Копчето за преземање на VPN портал враќа точно една датотека, и таа датотека може да биде две многу различни нешта: готов инсталатор на добавувачот со конфигурациски профил што патува покрај него, или изградба што организацијата сама ја составила. Страницата изгледа исто во двата случаи, па копчето не може да ви каже која ја имате. Зад него стојат три прашања — кој ја објави извршната датотека, каква конфигурација запишува инсталацијата и кој ја поправа кога ќе пристигне следното издание на клиентот. На првото одговарате од метаподатоците на артефактот, на второто од содржината на пакетот, а на третото само од тимот што го поседува распоредувањето.

Катанчето во прелистувачот го покрива преносот, а не артефактот.

Што всушност враќа крајната точка за преземање

Повеќето портали ја предаваат барањето за преземање на мал обработувач што или пренесува зачувана датотека или составува датотека во моментот, па потоа поставува име на датотека и тип на содржина пред одговорот да замине. Она што пристигнува е контејнер: MSI, PKG, DEB или RPM, или самораспакувачка обвивка околу еден од нив. Внатре стои бинарната датотека на клиентот, и ништо во името на датотеката не кажува сигурно дали таа бинарна датотека дошла од добавувачот или од внатрешна линија за изградба. Датотека наречена client-setup.exe запишува одлука за именување, а не факт за потекло.

Споредете ги преземените бајти со контролната сума што ја објавил добавувачот. Несовпаѓањето не докажува злонамерност; докажува дека датотеката не е изградба на добавувачот, и токму тоа е разликата по која вреди да се постапи.

Каде профилот влегува во клиентот

Претходно пополнетите поставки обично патуваат како посебна датотека што инсталаторот ја копира во патека за секој корисник или за секоја машина: JSON или XML профил во Windows, конфигурациски профил во macOS, фрагмент под /etc во Linux. Вредностите во таа датотека — имиња на домаќини на портата, сидра на доверба, понекогаш материјал за запишување — стануваат стандардни вредности на клиентот при првото стартување. Затоа едно преземање може да носи и тајни и код.

Прашајте што прави патеката за надградба со профилот. Во зависност од пакувањето, може да преживее ажурирање на клиентот, да биде препишан од него или да не помине проверка на шемата во новата верзија.

Што не докажува синџирот на потписи

Потпишувањето код ја врзува идентитетот на издавачот за хаш на датотека, а во Windows временскиот печат на Authenticode му овозможува на потписот да живее подолго од сертификатот што го создал. Важечки резултат одговара на две прашања: кој издавач ги потпишал овие бајти и дали тие се промениле потоа. Тој не ги набројува услугите на инсталаторот, записите во регистарот или придружните драјвери и не одлучува дали на тој издавач треба да му се верува овде. Документацијата на Authenticode на Microsoft го опишува механизмот и е јасна за тој тесен опфат.

Автентикацијата на порталот одговара на трето прашање: дали сесијата стигнала до предвидениот сервер. Три различни проверки, три различни режими на неуспех.

Проверете го артефактот пред некој да го стартува

Ставете ја датотеката на изолирана машина и прочитајте ги нејзините метаподатоци пред да извршите било што. Овие команди одговараат на прашањето за издавачот на трите главни платформи.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Читајте го субјектот на потписникот, а не само зборот за состојба. Внатрешен сертификациски орган што потпишува внатрешна изградба е очекуван; истиот сертификат на пакет што тврди дека е издание на добавувачот не е.

За пакет само со профил, отворете го архивот и третирајте го секое вградено име на домаќин и клуч како податоци за кои мора да се даде сметка. Ако профилот содржи нешто повеќекратно употребливо, дистрибуцијата преку порталот го претвора во споделена тајна со распоред за воведување.

Утврдување на сопственоста пред распоредување

Зад последното прашање нема команда. Откријте кој го ажурира артефактот кога добавувачот испраќа нов клиент, кој го чува клучот за потпис на внатрешна изградба и како профилот се ротира кога крајната точка се поместува. Запишете ги тие имиња до врската за преземање.

Ако никој не го поседува тој одговор, преземањето е канал за дистрибуција без договор за одржување, и тоа е наодот што вреди да се пријави.