मिररमधून VPN इंस्टॉलर? आधी प्रकाशकाची तपासणी करा

टनेल चालली, इंटरफेस आला आणि सत्र एक आठवडा स्थिर राहिले। त्यातील कोणतीही गोष्ट इंस्टॉलर कोणी बनवला हे सांगत नाही। VPN क्लायंट मार्ग पुन्हा लिहिण्यासाठी आणि क्रेडेन्शियल्स वाचण्यासाठी पुरेशा विशेषाधिकारांसह चालतो, म्हणून प्रकाशक हा धोका-मॉडेलचा भाग आहे, तळटीप नाही।

तपासण्या क्रमाने करा आणि पहिल्या अयशस्वी तपासणीवर थांबा। त्या स्वस्त आहेत, आणि प्रत्येक वेगळी पोकळी बंद करते।

पहिला टप्पा: प्रकल्प ज्या चॅनेलचे नाव देतो तिथून डाउनलोड करा

प्रत्येक प्रकल्प त्याचे रिलीज कुठे असतात याची नोंद ठेवतो, आणि ते पान संदर्भ आहे। समुदाय बिल्ड, स्टोअर सूची आणि विक्रेता पोर्टल हे सर्व वैध चॅनेल आहेत। प्रत्येक तेव्हाच वैध असते जेव्हा प्रकल्प स्वतः त्याकडे निर्देश करतो। हीच चाचणी आहे, आणि ती अधिकृत दिसण्यासारखी नाही।

प्रकल्पाच्या नावाने असलेली फाइल काहीही सिद्ध करत नाही। इंस्टॉलरचे नाव बदलणे ही एका सेकंदाची क्रिया आहे, आणि शोध निकाल सर्वात आधी नावच दाखवतो।

दुसरा टप्पा: ज्ञात ओळखीविरुद्ध स्वाक्षरी सत्यापित करा

स्वाक्षरी सत्यापन एका अरुंद प्रश्नाचे चांगले उत्तर देते। एखाद्या विशिष्ट ओळखीने या बायनरीवर स्वाक्षरी केली आहे आणि बायनरी तेव्हापासून बदललेली नाही हे ते सांगते। एका प्रश्नाचे उत्तर देते आणि दुसऱ्यास नकार देते। ती ओळख तुम्ही विश्वास ठेवू इच्छित असलेली आहे का हे ते सांगू शकत नाही।

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

ओळख वाचा, स्थिती-शब्द नाही। वैध प्रमाणपत्र असलेला असंबंधित विकसकही वैध स्वाक्षरी तयार करतो। मान्यताप्राप्त प्रकाशकाची नोंद देणारी ऑपरेटिंग सिस्टम फक्त एवढेच सांगते की कोणीतरी प्रमाणपत्रासाठी पैसे दिले।

तिसरा टप्पा: हॅशची स्वतंत्र स्रोताशी तुलना करा

चेकसम संदर्भ मूल्याशी सहमती सिद्ध करतो। संदर्भ डाउनलोडच्या शेजारी आला असेल, तर दोन्ही एकत्र चुकीचे असू शकतात आणि तुलना तरीही उत्तीर्ण होते। बहुतेक ट्युटोरियलमधील अयशस्वी होण्याची पद्धत हीच आहे। हॅश ज्या फाइलचे वर्णन करतो त्याच पानावर असतो।

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

प्रकल्प स्वाक्षरी केलेले चेकसम किंवा स्वाक्षरी केलेले रिलीज मॅनिफेस्ट प्रकाशित करत असेल, तर प्रत्येक फाइलवर स्वतंत्रपणे नाही तर यादीवर स्वाक्षरी सत्यापित करा। अशा प्रकारे एक विश्वासार्ह संदर्भ संपूर्ण रिलीज व्यापतो।

इंस्टॉलेशननंतर: अद्ययावत मार्ग टिकवा

इंस्टॉलेशन संपल्यानंतरही समर्थित चॅनेल महत्त्वाचे राहते। पुन्हा पॅकेज केलेले बिल्ड स्वतःचे अद्ययावतकर्ता सोबत आणू शकतात, आणि तोच अद्ययावतकर्ता पुढील महिन्यात काय चालेल हे ठरवतो। कधीही अद्ययावत न होणारे बिल्ड अधिक सुरक्षित नसते। ते फक्त जुने असते।

क्लायंट कसा अद्ययावत व्हावा आणि तो टप्पा व्यवस्थापन प्रणालीकडे आहे का हे नोंदवा। उत्तर फोरमवरून हाताने डाउनलोड करणे असेल, तर पुरवठा साखळीचा प्रश्न कधीही खरोखर बंद झाला नाही।

दोन उगम, एक नाही

क्लायंट विकसक आणि प्रोफाइल जारी करणारा हे वेगळे पक्ष आहेत। अधिकृत क्लायंटने असंबंधित ऑपरेटरचे प्रोफाइल आयात करणे ही सामान्य व्यवस्था आहे, आणि प्रोफाइल स्वतःच्या तपासणीस पात्र आहे: कोणी जारी केले, कसे पोहोचवले गेले, आणि सर्व्हर प्रमाणपत्र तुम्ही अपेक्षित असलेल्या नावाशी जुळते का।

तुमच्या नोट्समध्ये दोन्ही उगम ओळखता येण्याजोगे ठेवा। क्लायंट बदलला किंवा उपकरण बॅकअपमधून पुनर्संचयित झाले, त्या क्षणी त्या दोन ओळीच अपरिचित बिल्ड किंवा अपरिचित प्रोफाइल उर्वरित डेटासह परत येण्यापासून रोखतात।