Er den VPN-appen den offisielle utgaven eller en kopi?

Kopiprogramvare kopierer navn, ikoner og skjermbilder, og den kobler seg godt nok til å virke overbevisende. At tunnelen virker er ikke bevis for noe, fordi spørsmålet er hvem som skrev binærfilen. Behandle dette som en identitetskontroll og ikke som en sikkerhetsrevisjon, og hent hver referanseverdi fra en kanal du selv har valgt, ikke fra appens egen side. Fem kontroller følger, og hver av dem kan feile mens de andre består. Gjør dem i rekkefølge, fordi en senere kontroll ikke kan redde en tidligere.

Hent referanseverdiene dine fra en kanal du selv har valgt

Åpne prosjektets offisielle nedlastingsinstruksjoner, eller organisasjonens administrerte programvarekanal, før du ser på hva som er installert. Noter den forventede utgiveren i butikken, identiteten til pakken eller installasjonsprogrammet og de støttede plattformene, og oppbevar notatet der du finner det ved neste oppdatering. Et søkeresultat eller en sponset plassering er ikke den kanalen, og den betalte plasseringen står over det organiske resultatet nettopp fordi folk klikker på det første treffet. Bokmerk siden når du har verifisert den, slik at neste nedlasting starter med en beslutning og ikke med et gjentatt søk.

Et speil eller et tredjeparts pakkearkiv er også en kanal, og den er bare så pålitelig som operatøren sin. Skriv ned hvilken du brukte, for det er nettopp den detaljen folk glemmer mellom oppdateringer.

Sammenlign den installerte utgiveren, ikke navnet

Len deg på plattformens egne signatur- og applikasjonsregistre der de finnes, og les deretter versjonen, oppdateringsveien og tillatelsene appen ba om. Å oppdage en gyldig signatur er ikke det samme som å oppdage utgiveren du forventet, fordi et sertifikat bare attesterer at en binærfil ble signert av den som har det. En signatur fra et selskap du aldri har hørt om er fortsatt en gyldig signatur, og derfor må testen navngi parten du mente. Et installasjonsprogram som tar med ekstra programvare, ber om et sertifikat eller åpner en kontoprompt du ikke forventet, trenger en forklaring fra produktets egen dokumentasjon.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Kjør kontrollen som passer plattformen, og sammenlign utdataene med referansenotatet du laget i første trinn. Avvik i utgiverfeltet er mer informativt enn noen grad av visuell likhet, fordi et ikon koster ingenting å kopiere. Hvis utdataene nevner en organisasjon som ikke finnes noe sted i prosjektets dokumentasjon, stopp der og ikke logg inn.

Hva den installerte signaturen faktisk beviser

Når et prosjekt publiserer kontrollsummer, signaturer eller utgivelsesnøkler, gå gjennom hele prosedyren det dokumenterer, inkludert delen om å skaffe referansenøkkelen. En kontrollsum trykt på samme side som nedlastingen beviser bare at filen samsvarer med den siden, noe som er en svakere påstand enn det ser ut som. Det nyttige spørsmålet er om signaturen kjeder til identiteten prosjektet dokumenterer, via en vei kopien ikke kontrollerer. Dette er trinnet folk forkorter til om filen i det hele tatt har en signatur.

En nøkkel hentet fra en nøkkelserver og et fingeravtrykk trykt i en README er ikke likeverdige bevis. Bestem hvilken du faktisk brukte før du kaller filen verifisert.

Når appen er ekte, men profilen ikke er det

En klient og en serverprofil kommer fra to forskjellige utstedere, og å forveksle dem er en annen feil enn å installere feil binærfil. En OpenVPN-utgave vedlikeholdt av ett prosjekt laster gjerne en konfigurasjon skrevet av en uvedkommende operatør, og det er normal oppførsel og ikke bevis på kompromittering. Det motsatte gjelder også: en legitim profil gjør ikke en uoffisiell klient pålitelig. Verifiser hvert objekt mot sin egen kilde, og la aldri en fungerende tilkobling smelte to kontroller sammen til én.

Spør hvilket av de to objektene som faktisk er i tvil før du handler, fordi botemidlet er forskjellig. En dårlig klient betyr reinstallering, mens en dårlig profil betyr å slette én fil og utstede den på nytt.

Handle ved usikkerhet, og rydd deretter ordentlig opp

Hvis identiteten forblir usikker, slutt å oppgi legitimasjon og skaff programvaren uavhengig via den verifiserte kanalen du bokmerket. Følg plattformens veiledning for uønskede programmer i stedet for å slette en mappe og håpe. Noter deretter utgiveren, versjonen og verifiseringsmetoden du godtok, slik at neste oppdatering kan sammenlignes med et faktum og ikke med hukommelsen.

Etter en legitim utskifting, gå gjennom de gamle profilene og tillatelsene i både klienten og operativsystemet. Avinstallering av den nedlastede filen lar det installerte programmet bli liggende, og en gammel profil kan overleve klienten som laget den mens den fortsatt peker på et endepunkt ingen vedlikeholder. WireGuards offisielle installasjonsside er et godt eksempel på den typen referanse det er verdt å beholde: det er utviklerens egen liste og ikke et speil.