Нээлттэй эх кодтой VPN клиент: код юуг нотлох, юуг нотолж чадахгүй
Олон нийтийн репозитори нь эх кодын тухай нотолгоо бөгөөд таны суулгасан бүтээц эсвэл түүний ард байгаа серверүүдийн тухай биш. Хувилбарыг тааруулж, дараа нь шалгалтын хүрээг өргөжүүлээрэй.
Эх код нийтлэгдсэн, лиценз цэвэр, гэвч холболтыг эхнээс нь дуустал баталгаажуулж чадахгүй хэвээр байна. Энэ зөрүү нь ердийн зүйл бөгөөд скандал биш. Кодыг нийтлэх нь нэг бүрэлдэхүүнийг уригдаагүй хүмүүст шалгах боломж олгодог бөгөөд энэ нь бодит бөгөөд ховор шинж чанар юм. Таны суулгасан хоёртын файл тэр кодоос гаралтай гэсэн үг биш, эсвэл нийлүүлэгчийн нөгөө талд ажиллуулж буй зүйлийг ерөнхийд нь шалгасан гэсэн үг биш.
Бүрэлдэхүүнийг бүтээгдэхүүнээс тусгаарла
Нээлттэй эх кодын шошгыг дөрвөн зүйл авч болох бөгөөд бүгд нээлттэй байх нь ховор. Хүмүүсийн хэлэх нь клиент програмыг хэлнэ. Түүний доорх протоколын хэрэгжилт нь өөр артефакт бөгөөд заримдаа сан, заримдаа мод доторх код. Серверийн программ хангамж гурав дахь, нийлүүлэгчийн өөрийн дэд бүтэц, бүртгэлийн портал, дэмжлэгийн хэрэгсэл дөрөв дэх юм. Тус бүр нь бие даан нээлттэй эсвэл хаалттай байж болно.
Тиймээс "манай апп нээлттэй эх кодтой" гэх мэт мэдэгдэл эхний зүйлийг тодорхойлж, бусад нь хариултгүй үлдээдэг бөгөөд энэ нь шударга бус явдал биш харин ангиллын гулсалт юм. Хэрэгтэй асуулт бол ямар репозитори, ямар шошгон дээр таны найдаж буй бүрэлдэхүүнтэй тохирох вэ гэдэг.
Энэ ялгаа нь яагаад ижил нээлттэй клиенттэй хоёр бүтээгдэхүүн маш өөр баталгаа санал болгож болохыг тайлбарладаг. Клиент бол таны шалгаж болох хэсэг; операторын зан төлөвийг өөр аргаар үнэлэх хэсэг.
Суулгасан бүтээцийг нийтэлсэн шошготой тааруул
Репозитори бол санааны бүртгэл; таны диск дээрх хоёртын файл бол ажилладаг зүйл. Энэ зөрүүг хаах нь механик дасгал бөгөөд татаж авах хуудас зарласан зүйлийг биш, яг юу суулгасныг тодорхойлохоос эхэлдэг.
| Component | What inspection can show | What it leaves untouched |
|---|---|---|
| Client source | How profiles, packets and optional telemetry are handled | Whether the shipped binary matches that source |
| Build output | Whether a declared build reproduces a matching artefact | Whether the source is correct or the toolchain is clean |
| Server software | What the implementation is capable of logging | What the operator actually configures and retains |
| Account and support systems | Almost nothing, unless they are separately published | Everything about how those systems treat your data |
Багцын мета өгөгдөл нь хувилбар болон гарал үүслийг хэлж өгдөг нь хуучирсан эсвэл солигдсон багцын энгийн тохиолдлыг үгүйсгэдэг. Гэхдээ тэр багц хэрхэн компайл хийгдсэнийг хэлдэггүй бөгөөд яг энэ асуултад хариулахын тулд давтагдах бүтээцүүд байдаг. Давтагдах бүтээцүүд бие даасан талд ижил эх сурвалжаас дахин бүтээж, үр дүнг байт байтаар харьцуулах боломж олгодог тул зөрүү нь сэжиг биш нотолгоо болдог.
Төгс тохирол ч хүмүүсийн хүлээж байгаагаас бага зүйг нотолдог. Энэ нь артефакт эх сурвалж болон бүтээцийн жортой тохирч байгааг харуулдаг бөгөөд эх сурвалж алдаагүй гэсэн ч биш, ашигласан хэрэгслийн гинжин хэлхээ найдвартай байсан гэсэн ч биш. Хоёулаагүй мэдэх нь үнэ цэнэтэй боловч эдгээр нь өөр мэдэгдэл юм.
dpkg -S /usr/bin/wg
apt-cache policy wireguard-tools
sha256sum /usr/bin/wgШинж тэмдэг ихэвчлэн хаанаас эхэлдэг
Энэ уншилтыг үүсгэдэг гомдол нь ховор "код хаалттай" гэж байдаг. Ихэвчлэн тодорхой ажиглалт байдаг: гэнэтийн газар холбогддог клиент, хувилбарын тэмдэглэлээс ялгаатай хувилбар, эсвэл туннельд хэрэгтэйгээс илүүг шаарддаг дэмжлэгийн процесс. Эдгээр цэг бүр өөр бүрэлдэхүүнийг заадаг.
Клиентээс гэнэтийн сүлжээний урсгал нь клиентийн эх кодын асуудал бөгөөд холболтыг нээдэг кодын замыг уншиж хариулах боломжтой. Хувилбарын зөрүү нь баглаа боодлын асуудал. Биеийн байцаалтын баримт бичиг шаарддаг дэмжлэгийн процесс нь бүртгэлийн системийн асуудал бөгөөд ямар ч клиентийн аудит үүнийг шийдэхгүй.
Бүрэлдэхүүнийг нэрлэх нь бүрхэг үл итгэлцлийг тодорхой шалгалт болгоно. Тодорхой шалгалтад хариулж, маргаж эсвэл хааж болно. Өөр хувилбар нь дараагийн алхамгүй байнгын сэжиг юм.
Шалгалт юунд хүрч чадахгүй, оронд нь юу хийх
Нийлүүлэгчийн сервер дээр хадгалах нь клиентийн хүрээнээс гадуур. Төлбөрийн портал, луйврын шалгалтын нийлүүлэгч эсвэл хавсралт хадгалдаг дэмжлэгийн төвийн зан төлөв ч мөн адил. "Бид үйлчилгээг аудит хийсэн" хүртэл сунгасан клиентийн шалгалт нь нотолгоо дэмжихгүй мэдэгдэл болдог.
Оператор хадгалалт, хүсэлтийн талаар нийтэлснийг уншиж, огноог тэмдэглэж, үүнийг хэмжилт биш харин сонирхогч талын мэдэгдэл гэж үзээрэй. Энэ нь нотолгооны сул хэлбэр бөгөөд ялгааг тодорхой хэлэх нь дахин ярихдаа дээшлүүлэхээс илүү ашигтай.
Дараа нь танд байгаа зүйлийг хэд хэдэн орцын нэг болгон ашиглаарай: суулгасан хувилбарын ижилсэл, программ хангамжийг арчилж байгаа эсэх, клиентийг хэрхэн тохируулсан, оператор өөрийн системүүдийн талаар юу гэж хэлдэг. Нээлттэй код нь энэ үнэлгээг нэг цэг дээр бэхжүүлдэг. Энэ нь бусад хэсгийг орлохгүй.
Аудитын мэдэгдэл үргэлж өөрийн бүрэлдэхүүн, хувилбарыг нэрлэх ёстой. Хэрэв тайлан аль репозитори, аль бүтээцийг шалгаснаа хэлж чадахгүй бол бүтээгдэхүүнийг биш, санааг дүрсэлж байна.