Installer tal-portal VPN: pakkett, profil jew bini mill-ġdid?

Il-buttuna tat-tniżżil ta’ portal VPN tirritorna eżattament fajl wieħed, u dak il-fajl jista’ jkun żewġ affarijiet ferm differenti: installer lest tal-fornitur bi profil ta’ konfigurazzjoni li jivvjaġġa miegħu, jew bini li l-organizzazzjoni ġabret hija stess. Il-paġna tidher l-istess fiż-żewġ każijiet, għalhekk il-buttuna ma tistax tgħidlek liema għandek. Warajha hemm tliet mistoqsijiet — min ippubblika l-fajl eżegwibbli, liema konfigurazzjoni tikteb l-installazzjoni, u min jirranġaha meta tasal il-verżjoni li jmiss tal-klijent. Int twieġeb l-ewwel mill-metadata tal-artefatt, it-tieni mill-kontenut tal-pakkett, u t-tielet biss mit-tim li jippossjedi t-tnedija.

Is-serratura tal-browser tkopri it-trasferiment, mhux l-artefatt.

X’jirritorna tassew il-punt tat-tniżżil

Il-biċċa l-kbira tal-portali jgħaddu talba ta’ tniżżil lil handler żgħir li jew ixxandar fajl maħżun jew iġġib wieħed flimkien fil-mument, imbagħad jistabbilixxi isem tal-fajl u tip ta’ kontenut qabel ma joħroġ ir-risposta. Dak li jasal huwa kontenitur: MSI, PKG, DEB jew RPM, jew involukru li jeġġielu nnifsu madwar wieħed minnhom. Ġewwa hemm il-binarju tal-klijent, u xejn fl-isem tal-fajl ma jgħid b’mod affidabbli jekk dak il-binarju ġiex mill-fornitur jew minn pipeline tal-bini interna. Fajl imsejjaħ client-setup.exe jirreġistra deċiżjoni ta’ ismijiet, mhux fatt ta’ oriġini.

Qabbel il-bytes imniżżla mal-checksum ippubblikat mill-fornitur. Nuqqas ta’ qbil ma jipprovax ħażen; jipprova li l-fajl mhuwiex il-bini tal-fornitur, u din hija d-distinzjoni li jistħoqqilha azzjoni.

Fejn il-profil jidħol fil-klijent

Is-settings mimlijin minn qabel normalment jivvjaġġaw bħala fajl separat li l-installer jikkopja f’pass għal kull utent jew kull magna: profil JSON jew XML fuq Windows, profil ta’ konfigurazzjoni fuq macOS, framment taħt /etc fuq Linux. Il-valuri f’dak il-fajl — ismijiet tal-host tal-gateway, ankri ta’ fiduċja, xi drabi materjal tar-reġistrazzjoni — isiru l-defaults tal-klijent fl-ewwel tnedija. Għalhekk tniżżila waħda tista’ ġġorr sigrieti kif ukoll kodiċi.

Staqsi x’jagħmel il-passaġġ tal-aġġornament mal-profil. Skont l-imballaġġ jista’ jgħix minn aġġornament tal-klijent, jiġi mitfi minnu, jew ifalli l-validazzjoni tal-iskema fil-verżjoni l-ġdida.

X’ma jipprovax il-katina tal-firma

L-iffirmar tal-kodiċi jorbot l-identità tal-pubblikatur ma’ hash tal-fajl, u fuq Windows it-timbru tal-ħin Authenticode iħalli firma tgħix itwal miċ-ċertifikat li ħoloqha. Riżultat validu jwieġeb żewġ mistoqsijiet: liema pubblikatur iffirma dawn il-bytes, u jekk inbidlux wara. Ma jelenkx is-servizzi tal-installer, il-kitbiet tar-reġistru jew is-sewwieqa miġbura, u ma jiddeċidix jekk dak il-pubblikatur għandux jiġi fiduċjat hawn. Id-dokumentazzjoni Authenticode ta’ Microsoft tiddeskrivi l-mekkaniżmu u hija espliċita dwar dak l-ambitu dejjaq.

L-awtentikazzjoni tal-portal twieġeb it-tielet mistoqsija: li s-sessjoni waslet għas-server maħsub. Tliet kontrolli differenti, tliet modi differenti ta’ falliment.

Ivverifika l-artefatt qabel ma xi ħadd imexxih

Qiegħed il-fajl fuq magna iżolata u aqra l-metadata tiegħu qabel ma tesegwixxi xejn. Dawn il-kmandi jwieġbu l-mistoqsija tal-pubblikatur fuq it-tliet pjattaformi ewlenin.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Aqra s-suġġett tal-firmatarju mhux biss il-kelma tal-istat. Awtorità taċ-ċertifikati interna li tiffirma bini intern hija mistennija; l-istess ċertifikat fuq pakkett li jiddikjara li hu l-ħarġa tal-fornitur mhuwiex.

Għal pakkett biss bil-profil, iftaħ l-arkivju u ttratta kull isem tal-host u ċavetta inkorporati bħala data li għandha tingħata kont tagħha. Jekk il-profil fih xi ħaġa li tista’ terġa’ tintuża, id-distribuzzjoni mill-portal tibdelha f’sigriet maqsum b’skeda tat-tnedija.

L-istabbiliment tas-sjieda qabel it-tnedija

Wara l-aħħar mistoqsija m’hemm ebda kmand. Skopri min jaġġorna l-artefatt meta l-fornitur jibgħat klijent ġdid, min iżomm iċ-ċavetta tal-firma għal bini intern, u kif il-profil jiġi mdawwar meta punt tat-tmiem jiċċaqlaq. Ikteb dawk l-ismijiet ħdejn il-link tat-tniżżil.

Jekk ħadd ma jippossjedi dik it-tweġiba, it-tniżżil huwa kanal ta’ distribuzzjoni mingħajr kuntratt ta’ manutenzjoni, u dak huwa s-sejba li jistħoqqilha rapport.