Dik l-app VPN hija l-build uffiċjali jew imitazzjoni?

Is-software tal-imitazzjoni jikkupja ismijiet, ikoni u skrinshots, u jgħaqqad tajjeb biżżejjed biex jidher konvinċenti. Li l-mina taħdem mhi xejn prova ta' xejn, għax il-mistoqsija hi min kiteb il-binary. Ittrattah bħala verifika tal-identità u mhux bħala awditu tas-sigurtà, u ħu kull valur ta' referenza minn kanal li għażilt int, mhux mill-paġna tal-app innifsu. Imbagħad jiġu ħames verifiki, u kull wieħed jista' jonqos waqt li l-oħrajn jgħaddu. Agħmilhom fl-ordni, għax verifika aktar tard ma tistax issalva waħda qabel.

Ħu l-valuri ta' referenza tiegħek minn kanal li għażilt int

Iftaħ l-istruzzjonijiet uffiċjali tat-tniżżil tal-proġett, jew il-kanal tal-software amministrat tal-organizzazzjoni tiegħek, qabel ma tara x'inhu installat. Innota l-pubblikatur mistenni tal-maħżen, l-identità tal-pakkett jew tal-installer, u l-pjattaformi appoġġjati, u mbagħad żomm dik in-nota fejn issibha fl-aġġornament li jmiss. Riżultat tat-tfittxija jew tqegħid sponsorjat mhuwiex dak il-kanal, u t-tqegħid imħallas joqgħod fuq ir-riżultat organiku proprju għax in-nies jikklikkjaw l-ewwel qabla. Ibbukmarkja l-paġna ladarba tkun ivverifikajtha, biex it-tniżżil li jmiss jibda minn deċiżjoni u mhux minn tfittxija ripetuta.

Mera jew repożitorju tal-pakketti ta' partijiet terzi huwa wkoll kanal, u huwa affidabbli biss daqs l-operatur tiegħu. Ikteb liema użajt, għax dak id-dettall huwa dak li n-nies jinsiew bejn aġġornamenti.

Qabbel il-pubblikatur installat, mhux l-isem

Ibbaża fuq ir-rekords tal-firma u tal-applikazzjonijiet tal-pjattaforma stess fejn jeżistu, u mbagħad aqra l-verżjoni, il-mogħdija tal-aġġornament u l-permessi li talab l-app. Li tinduna b'firma valida mhuwiex l-istess bħal li tinduna bil-pubblikatur li kont qed tistenna, għax ċertifikat jixhed biss li binary ġie ffirmat minn min għandu. Firma minn kumpanija li qatt ma smajt biha tibqa' firma valida, u għalhekk it-test irid isemmi l-parti li kellek f'moħħok. Installer li jġib miegħu software żejjed, jitlob ċertifikat jew jiftaħ talba tal-kont li ma kontx qed tistenna, jeħtieġ spjegazzjoni mid-dokumentazzjoni tal-prodott stess.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Mexxi l-verifika li taqbel mal-pjattaforma, u qabbel il-ħruġ tagħha man-nota ta' referenza li għamilt fl-ewwel pass. Nuqqas ta' qbil fil-qasam tal-pubblikatur huwa aktar informattiv minn kwalunkwe xebh viżwali, għax ikona ma tiswiex xejn biex tikkupjaha. Jekk il-ħruġ isemmi organizzazzjoni li ma tidhirx imkien fid-dokumentazzjoni tal-proġett, waqaf hemm u tidħolx.

X'inhu verament jipprova l-firma installata

Meta proġett jippubblika checksums, firem jew ċwievet tar-rilaxx, agħmel il-proċedura kollha li jiddokumenta, inkluża l-parti dwar kif tinkiseb iċ-ċavetta ta' referenza. Checksum stampat fl-istess paġna tat-tniżżil jipprova biss li l-fajl jaqbel ma' dik il-paġna, li hija talba aktar dgħajfa milli tidher. Il-mistoqsija utli hija jekk il-firma hijiex marbuta mal-identità li tiddokumenta l-proġett, permezz ta' mogħdija li l-imitazzjoni ma tikkontrollax. Dan huwa l-pass li n-nies iqassru għal jekk il-fajl għandux firma xejn.

Ċavetta meħuda minn server taċ-ċwievet u imprint tal-marka tas-swaba' stampat f'README mhumiex provi ekwivalenti. Iddeċiedi liema użajt tassew qabel ma ssejjaħ il-fajl ivverifikat.

Meta l-app hija vera imma l-profil mhuwiex

Klijent u profil tas-server jiġu minn żewġ emittenti differenti, u li tħallathom huwa falliment separat mill-installazzjoni tal-binary ħażin. Build ta' OpenVPN miżmum minn proġett wieħed se jgħabbi konfigurazzjoni miktuba minn operatur mhux relatat bil-ferħ, u dan huwa mġiba normali u mhux prova ta' kompromiss. Jgħodd ukoll il-maqlub: profil leġittimu ma jagħmilx klijent mhux uffiċjali affidabbli. Ivverifika kull oġġett kontra s-sors tiegħu stess, u qatt tħalli konnessjoni li taħdem tgħaqqad żewġ verifiki f'waħda.

Staqsi liema miż-żewġ oġġetti huwa tassew fid-dubju qabel ma taġixxi, għax il-mediċina hija differenti. Klijent ħażin ifisser installazzjoni mill-ġdid, filwaqt li profil ħażin ifisser tħassir ta' fajl wieħed u ħruġ mill-ġdid tiegħu.

Aġixxi fl-inċertezza, imbagħad naddaf sew

Jekk l-identità tibqa' inċerta, waqaf milli tforni l-kredenzjali u ġib is-software b'mod indipendenti permezz tal-kanal ivverifikat li bbukmarkjajt. Segwi l-gwida tal-pjattaforma dwar applikazzjonijiet mhux mixtieqa minflok ma tħassar folder u tittama. Imbagħad innota l-pubblikatur, il-verżjoni u l-metodu ta' verifika li aċċettajt, biex l-aġġornament li jmiss jista' jiġi mqabbel ma' fatt u mhux ma' memorja.

Wara sostituzzjoni leġittima, mur fuq il-profili l-qodma u l-għotjiet tal-permessi kemm fil-klijent kif ukoll fis-sistema operattiva. L-installazzjoni tal-fajl imniżżel imneħħija tħalli l-applikazzjoni installata f'postha, u profil qadim jista' jgħix itwal mill-klijent li ħolqu waqt li għadu jindika lejn punt tat-tmiem li ħadd ma jżomm. Il-paġna uffiċjali tal-installazzjoni ta' WireGuard hija eżempju xieraq tat-tip ta' referenza li jiswa li tinżamm: hija l-lista tal-iżviluppatur stess u mhux mera.