Klijent VPN b'sors miftuħ: x'jipprova l-kodiċi u x'ma jistax
Repożitorju pubbliku huwa prova dwar il-kodiċi sors, mhux dwar il-build li installajt jew dwar is-server wara tiegħu. Qabbel ir-rilaxx, imbagħad wessa' r-reviżjoni.
Is-sors ġie ppubblikat, il-liċenzja hija nadifa, u l-konnessjoni għadha ma tistax tiġi vverifikata mit-tarf għat-tarf. Dan il-vojt huwa normali, u mhuwiex skandlu. Li tippubblika l-kodiċi jagħmel komponent wieħed spezzjonabbli minn nies li ma ġewx mistiedna, u din hija proprjetà reali u mhux tas-soltu. Minn dan ma jsegwix li l-binarju li installajt ġie minn dak il-kodiċi, lanqas li xi ħaġa li l-fornitur iħaddem fuq in-naħa l-oħra ġiet eżaminata xejn.
Issepara l-komponent mill-prodott
Erba' affarijiet jistgħu jġorru t-tikketta ta' sors miftuħ, u rari jkunu kollha miftuħa. L-applikazzjoni tal-klijent hija dik li n-nies ifissru. L-implimentazzjoni tal-protokoll taħtha hija artefatt ieħor, xi drabi librerija u xi drabi kodiċi fis-siġra. Is-software tas-server huwa t-tielet, u l-infrastruttura tal-fornitur stess, il-portal tal-kont u l-għodod ta' appoġġ huma r-raba'. Kull wieħed jista' jkun miftuħ jew magħluq b'mod indipendenti.
Għalhekk dikjarazzjonijiet bħal "l-app tagħna hija sors miftuħ" jiddeskrivu l-ewwel oġġett u jħallu l-bqija mingħajr tweġiba, li mhuwiex diżonestà daqskemm żlizza ta' kategorija. Il-mistoqsija utli hija liema repożitorju, b'liema tikketta, jikkorrispondi għall-komponent li qed tiddependi fuqu.
Dan id-distinzjoni tispjega wkoll għaliex żewġ prodotti b'klijenti miftuħa identiċi jistgħu joffru assigurazzjonijiet differenti ħafna. Il-klijent huwa l-parti li tista' tiċċekkja; l-imġiba tal-operatur hija l-parti li trid tivvaluta b'mezzi oħra.
Qabbel il-build installat mat-tikketta ppubblikata
Repożitorju huwa rekord ta' intenzjoni; il-binarju fuq id-diska tiegħek huwa dak li jaħdem. L-għeluq ta' dak il-vojt huwa eżerċizzju mekkaniku, u jibda billi tidentifika eżattament x'inhu installat, mhux dak li kien imreklam fil-paġna tat-tniżżil.
| Component | What inspection can show | What it leaves untouched |
|---|---|---|
| Client source | How profiles, packets and optional telemetry are handled | Whether the shipped binary matches that source |
| Build output | Whether a declared build reproduces a matching artefact | Whether the source is correct or the toolchain is clean |
| Server software | What the implementation is capable of logging | What the operator actually configures and retains |
| Account and support systems | Almost nothing, unless they are separately published | Everything about how those systems treat your data |
Il-metadata tal-pakkett tgħidlek il-verżjoni u l-oriġini, li teskludi l-każ trivjali ta' pakkett antik jew sostitwit. Ma tgħidlekx kif dak il-pakkett ġie kkumpilat, u proprju għal dik il-mistoqsija jeżistu l-builds riproducibbli. Builds riproducibbli jippermettu lil parti indipendenti tibni mill-ġdid mill-istess sors u tqabbel l-output byte b'byte, sabiex nuqqas ta' qbil isir prova minflok suspett.
Anke qbil perfett jipprova inqas milli jittamaw in-nies. Dan juri li l-artefatt jikkorrispondi mas-sors u mar-riċetta tal-build, mhux li s-sors huwa ħieles mid-difetti, u mhux li l-katina ta' għodod użata kienet affidabbli. It-tnejn ta' min jafhom, iżda huma talbiet differenti.
dpkg -S /usr/bin/wg
apt-cache policy wireguard-tools
sha256sum /usr/bin/wgMinn fejn normalmente jibda sintomu
L-ilment li jwassal għal din il-qari rari jkun "il-kodiċi huwa magħluq". Normalment huwa osservazzjoni speċifika: klijent li jċempel f'post mhux mistenni, verżjoni li tvarja mill-kjarifiki tar-rilaxx, jew proċess ta' appoġġ li jitlob aktar milli għandu bżonn it-tunnel. Kull wieħed minn dawn punti jindika komponent differenti.
Traffiku tan-netwerk mhux mistenni mill-klijent hija kwistjoni tal-kodiċi sors tal-klijent, u tista' tiġi mwieġba billi taqra l-passaġġ tal-kodiċi li jiftaħ il-konnessjoni. Nuqqas ta' qbil fil-verżjoni hija kwistjoni tal-ippakkjar. Proċess ta' appoġġ li jitlob dokumenti tal-identità hija kwistjoni tas-sistema tal-kontijiet, u l-ebda verifika tal-klijent ma ssolviha.
Li ssemmi l-komponent ibiddel diffidenza vaga f'verifika speċifika. Verifika speċifika tista' tiġi mwieġba, diskussa jew magħluqa. L-alternattiva hija suspett permanenti mingħajr pass li jmiss.
X'ma tistax tilħaq ir-reviżjoni, u x'għandu jsir minflok
Iż-żamma fuq is-server tal-fornitur hija barra mill-ambitu tal-klijent. Hekk ukoll l-imġiba ta' portal tal-biljar, fornitur tal-verifika tal-frodi jew desk tal-appoġġ li jżomm l-annessi. Reviżjoni tal-klijent li tiġi estiża sa "awditjajna s-servizz" tagħmel talba li l-provi ma jappoġġjawx.
Aqra dak li jippubblika l-operatur dwar iż-żamma u t-talbiet, innota d-data, u ittrattah bħala dikjarazzjoni ta' parti interessata mhux bħala kejl. Din hija forma aktar dgħajfa ta' prova, u li tkun espliċitu dwar id-differenza huwa aktar utli milli tgħolliha meta tirrakkonta.
Imbagħad uża dak li għandek bħala wieħed minn diversi inputs: l-identità tar-rilaxx installat, jekk is-software huwiex miżmum, kif il-klijent huwa konfigurat, u x'jgħid l-operatur dwar is-sistemi tiegħu stess. Kodiċi miftuħ isaħħaħ dik il-valutazzjoni f'punt wieħed. Ma jissostitwixxix il-bqija.
Talba ta' verifika għandha dejjem issemmi l-komponenti u l-verżjonijiet tagħha. Jekk rapport ma jistax jgħid liema repożitorju u liema build eżamina, qed jiddeskrivi intenzjoni mhux prodott.