Pemasang VPN dari cermin? Sahkan penerbit dahulu

Terowong berfungsi, antara muka muncul dan sesi kekal stabil selama seminggu. Tiada satu pun daripada itu memberitahu anda siapa yang membina pemasang. Klien VPN berjalan dengan keistimewaan yang cukup untuk menulis semula laluan dan membaca kelayakan, jadi penerbit ialah sebahagian daripada model ancaman, bukan nota kaki.

Lakukan pemeriksaan mengikut urutan dan berhenti pada yang pertama gagal. Ia murah, dan setiap satu menutup jurang yang berbeza.

Langkah satu: Muat turun daripada saluran yang dinamakan projek

Setiap projek mendokumenkan tempat keluaran terletaknya, dan halaman itu ialah rujukan. Binaan komuniti, penyenaraian kedai dan portal vendor semuanya saluran yang sah. Setiap satu sah hanya apabila projek itu sendiri menunjuk kepadanya. Itulah ujiannya, dan ia tidak sama dengan kelihatan rasmi.

Fail yang dinamakan sempena projek tidak membuktikan apa-apa. Menamakan semula pemasang ialah operasi satu saat, dan nama itulah yang ditunjukkan oleh hasil carian dahulu.

Langkah dua: Sahkan tandatangan terhadap identiti yang diketahui

Pengesahan tandatangan menjawab soalan yang sempit dengan baik. Ia memberitahu anda bahawa identiti tertentu menandatangani binari ini dan binari itu tidak berubah sejak itu. Ia menjawab satu soalan dan menolak yang lain. Ia tidak dapat memberitahu sama ada identiti itu yang anda mahu percayai.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Baca identitinya, bukan perkataan status. Pembangun tidak berkaitan dengan sijil yang sah menghasilkan tandatangan yang sah. Sistem pengendalian yang melaporkan penerbit yang dikenali hanya memberitahu anda bahawa seseorang membayar sijil.

Langkah tiga: Bandingkan hash dengan sumber bebas

Jumlah semak membuktikan persetujuan dengan nilai rujukan. Jika rujukan tiba di sebelah muat turun, kedua-duanya boleh salah bersama dan perbandingan masih lulus. Itulah mod kegagalan dalam kebanyakan tutorial. Hash terletak pada halaman yang sama dengan fail yang diterangkannya.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Apabila projek menerbitkan jumlah semak bertandatangan atau manifes keluaran bertandatangan, sahkan tandatangan pada senarai dan bukan pada setiap fail secara berasingan. Dengan itu satu rujukan dipercayai meliputi seluruh keluaran.

Selepas pemasangan: Kekalkan laluan kemas kini

Saluran yang disokong terus penting selepas pemasangan selesai. Binaan yang dibungkus semula boleh membawa pengemas kininya sendiri, dan pengemas kini itulah yang menentukan apa yang berjalan bulan depan. Binaan yang tidak pernah dikemas kini bukan lebih selamat. Ia hanya lebih lama.

Catat bagaimana klien sepatutnya dikemas kini dan sama ada sistem pengurusan memiliki langkah itu. Jika jawapannya ialah muat turun manual dari forum, persoalan rantaian bekalan tidak pernah benar-benar tertutup.

Dua asal, bukan satu

Pembangun klien dan pengeluar profil ialah pihak yang berasingan. Klien rasmi yang mengimport profil daripada pengendali tidak berkaitan ialah susunan biasa, dan profil itu wajar diperiksa sendiri: siapa yang mengeluarkannya, bagaimana ia dihantar dan sama ada sijil pelayan sepadan dengan nama yang anda jangkakan.

Pastikan kedua-dua asal boleh dikenal pasti dalam nota anda. Saat klien diganti atau peranti dipulihkan daripada sandaran, dua baris itulah yang menghalang binaan tidak dikenali atau profil tidak dikenali daripada kembali bersama data yang lain.