Adakah aplikasi VPN itu binaan rasmi atau tiruan?

Perisian tiruan menyalin nama, ikon dan tangkapan skrin, dan ia bersambung cukup baik untuk kelihatan meyakinkan. Terowong yang berfungsi bukan bukti apa-apa, kerana persoalannya siapa yang menulis binari itu. Anggap ini sebagai pemeriksaan identiti, bukan audit keselamatan, dan ambil setiap nilai rujukan daripada saluran yang anda pilih sendiri, bukan daripada halaman aplikasi itu. Berikut lima pemeriksaan, dan setiap satu boleh gagal sementara yang lain lulus. Lakukan mengikut urutan, kerana pemeriksaan kemudian tidak dapat menyelamatkan yang terdahulu.

Dapatkan nilai rujukan anda daripada saluran yang anda pilih

Buka arahan muat turun rasmi projek, atau saluran perisian terurus organisasi anda, sebelum anda melihat apa yang dipasang. Catat penerbit kedai yang dijangka, identiti pakej atau pemasang, dan platform yang disokong, kemudian simpan nota itu di tempat yang akan anda temui pada kemas kini seterusnya. Hasil carian atau penempatan tajaan bukan saluran itu, dan penempatan berbayar berada di atas hasil organik semata-mata kerana orang mengklik padanan pertama. Tandakan halaman itu sebagai penanda buku setelah anda mengesahkannya, supaya muat turun seterusnya bermula daripada keputusan dan bukan daripada carian berulang.

Cermin atau repositori pakej pihak ketiga juga merupakan saluran, dan ia hanya boleh dipercayai sejauh pengendalinya. Catat yang mana anda gunakan, kerana butiran itulah yang orang lupa antara kemas kini.

Bandingkan penerbit yang dipasang, bukan namanya

Bergantung pada rekod tandatangan dan aplikasi platform itu sendiri jika ada, kemudian baca versi, laluan kemas kini dan kebenaran yang diminta aplikasi. Melihat tandatangan yang sah tidak sama dengan melihat penerbit yang anda jangka, kerana sijil hanya mengesahkan bahawa binari ditandatangani oleh sesiapa yang memilikinya. Tandatangan daripada syarikat yang tidak pernah anda dengar tetap tandatangan yang sah, sebab itulah ujian mesti menamakan pihak yang anda maksudkan. Pemasang yang membawa perisian tambahan, meminta sijil atau membuka gesaan akaun yang anda tidak jangka, memerlukan penjelasan daripada dokumentasi produk itu sendiri.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Jalankan pemeriksaan yang sepadan dengan platform, dan bandingkan outputnya dengan nota rujukan yang anda buat pada langkah pertama. Ketidakpadanan dalam medan penerbit lebih bermaklumat daripada sebarang persamaan visual, kerana ikon tidak memerlukan kos untuk disalin. Jika output menamakan organisasi yang tidak muncul di mana-mana dalam dokumentasi projek, berhenti di situ dan jangan log masuk.

Apa yang sebenarnya dibuktikan oleh tandatangan yang dipasang

Apabila projek menerbitkan checksum, tandatangan atau kunci keluaran, lalui seluruh prosedur yang didokumenkannya, termasuk bahagian tentang mendapatkan kunci rujukan. Checksum yang dicetak pada halaman yang sama dengan muat turun hanya membuktikan bahawa fail itu sepadan dengan halaman tersebut, iaitu dakwaan yang lebih lemah daripada yang kelihatan. Soalan yang berguna ialah sama ada tandatangan itu berantai kepada identiti yang didokumenkan projek, melalui laluan yang tidak dikawal oleh tiruan. Inilah langkah yang orang ringkaskan kepada sama ada fail itu mempunyai tandatangan atau tidak.

Kunci yang diambil daripada pelayan kunci dan cap jari yang dicetak dalam README bukan bukti yang setara. Tentukan yang mana benar-benar anda gunakan sebelum menyebut fail itu disahkan.

Apabila aplikasi itu tulen tetapi profilnya tidak

Klien dan profil pelayan datang daripada dua pengeluar berbeza, dan mengelirukan mereka adalah kegagalan berasingan daripada memasang binari yang salah. Binaan OpenVPN yang diselenggara oleh satu projek akan memuatkan konfigurasi yang ditulis oleh pengendali tidak berkaitan dengan senang hati, dan itu tingkah laku biasa, bukan bukti kompromi. Sebaliknya juga benar: profil sah tidak menjadikan klien tidak rasmi boleh dipercayai. Sahkan setiap objek terhadap sumbernya sendiri, dan jangan sekali-kali biarkan sambungan yang berfungsi meleburkan dua pemeriksaan menjadi satu.

Tanya objek mana antara dua itu yang benar-benar diragui sebelum bertindak, kerana penyelesaiannya berbeza. Klien buruk bermaksud memasang semula, manakala profil buruk bermaksud memadam satu fail dan mengeluarkannya semula.

Bertindak apabila ragu, kemudian bersihkan dengan betul

Jika identiti kekal tidak pasti, berhenti memberikan kelayakan dan dapatkan perisian itu secara bebas melalui saluran yang disahkan yang anda tandakan. Ikuti panduan platform tentang aplikasi yang tidak diingini dan bukannya memadam folder lalu berharap. Kemudian catat penerbit, versi dan kaedah pengesahan yang anda terima, supaya kemas kini seterusnya boleh dibandingkan dengan fakta dan bukan dengan ingatan.

Selepas penggantian yang sah, telusuri profil lama dan pemberian kebenaran dalam klien dan sistem pengendalian. Menyahpasang fail yang dimuat turun meninggalkan aplikasi yang dipasang di tempatnya, dan profil lama boleh hidup lebih lama daripada klien yang menciptanya sambil masih menunjuk ke titik akhir yang tidak diselenggara oleh sesiapa. Halaman pemasangan rasmi WireGuard ialah contoh wajar jenis rujukan yang patut disimpan: ia senarai pembangun itu sendiri, bukan cermin.