मिररबाट VPN इन्स्टलर? पहिले प्रकाशक जाँच्नुहोस्

टनेल चल्यो, इन्टरफेस आयो र सत्र एक हप्ता स्थिर रह्यो। तीमध्ये कुनैले पनि इन्स्टलर कसले बनायो भन्ने बताउँदैन। VPN क्लाइन्ट रुट पुनःलेखन गर्न र प्रमाणहरू पढ्न पर्याप्त विशेषाधिकारसँग चल्छ, त्यसैले प्रकाशक खतरा-मोडेलको भाग हो, पादटिप्पणी होइन।

जाँचहरू क्रममा गर्नुहोस् र पहिलो असफल भएकोमा रोक्नुहोस्। ती सस्ता छन्, र प्रत्येकले फरक खाली ठाउँ बन्द गर्छ।

पहिलो चरण: परियोजनाले नाम दिएको च्यानलबाट डाउनलोड गर्नुहोस्

हरेक परियोजनाले आफ्ना रिलिजहरू कहाँ छन् भनी अभिलेख गर्छ, र त्यो पृष्ठ सन्दर्भ हो। समुदाय बिल्ड, स्टोर सूची र विक्रेता पोर्टल सबै वैध च्यानल हुन्। हरेक तब मात्र वैध हुन्छ जब परियोजना आफैंले त्यसतर्फ संकेत गर्छ। त्यही परीक्षा हो, र त्यो आधिकारिक देखिनु जस्तो होइन।

परियोजनाको नाममा रहेको फाइलले केही प्रमाणित गर्दैन। इन्स्टलरको नाम बदल्नु एक सेकेन्डको काम हो, र खोज परिणामले सबैभन्दा पहिले नाम नै देखाउँछ।

दोस्रो चरण: ज्ञात पहिचानविरुद्ध हस्ताक्षर प्रमाणित गर्नुहोस्

हस्ताक्षर प्रमाणीकरणले साँघुरो प्रश्नको राम्रो उत्तर दिन्छ। कुनै निश्चित पहिचानले यो बाइनरीमा हस्ताक्षर गरेको र बाइनरी त्यसपछि नबदलेको कुरा यसले बताउँछ। एक प्रश्नको उत्तर दिन्छ र अर्कोलाई अस्वीकार गर्छ। त्यो पहिचान तपाईंले विश्वास गर्न चाहेको हो कि होइन भन्ने यसले बताउन सक्दैन।

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

पहिचान पढ्नुहोस्, स्थिति-शब्द होइन। वैध प्रमाणपत्र भएको असम्बन्धित विकासकर्ताले पनि वैध हस्ताक्षर बनाउँछ। मान्यता प्राप्त प्रकाशकको रिपोर्ट गर्ने अपरेटिङ सिस्टमले कसैले प्रमाणपत्रका लागि पैसा तिर्यो भनेर मात्र भनेको हुन्छ।

तेस्रो चरण: ह्यासलाई स्वतन्त्र स्रोतसँग तुलना गर्नुहोस्

चेकसमले सन्दर्भ मानसँगको मेल प्रमाणित गर्छ। यदि सन्दर्भ डाउनलोडको छेउमै आयो भने दुवै सँगै गलत हुन सक्छन् र तुलना अझै पास हुन्छ। धेरै ट्युटोरियलमा असफलताको ढाँचा यही हो। ह्यास त्यसले वर्णन गर्ने फाइलसँगै एउटै पृष्ठमा हुन्छ।

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

कुनै परियोजनाले हस्ताक्षरित चेकसम वा हस्ताक्षरित रिलिज म्यानिफेस्ट प्रकाशित गर्दा हरेक फाइलमा छुट्टाछुट्टै होइन, सूचीमा हस्ताक्षर प्रमाणित गर्नुहोस्। यसरी एउटा विश्वसनीय सन्दर्भले सम्पूर्ण रिलिज ढाक्छ।

स्थापनापछि: अपडेट मार्ग कायम राख्नुहोस्

स्थापना सकिएपछि पनि समर्थित च्यानल महत्त्वपूर्ण रहन्छ। पुनः प्याकेज गरिएका बिल्डले आफ्नै अपडेटर बोक्न सक्छन्, र त्यही अपडेटरले अर्को महिना के चल्ने निर्धारण गर्छ। कहिल्यै अपडेट नहुने बिल्ड बढी सुरक्षित हुँदैन। त्यो केवल पुरानो हुन्छ।

क्लाइन्ट कसरी अपडेट हुनुपर्ने हो र त्यो चरण व्यवस्थापन प्रणालीको हो कि होइन लेख्नुहोस्। उत्तर फोरमबाट म्यानुअल डाउनलोड हो भने आपूर्ति श्रृंखलाको प्रश्न कहिल्यै साँच्चै बन्द भएको छैन।

दुई उत्पत्ति, एउटा होइन

क्लाइन्ट विकासकर्ता र प्रोफाइल जारी गर्ने अलग पक्ष हुन्। आधिकारिक क्लाइन्टले असम्बन्धित अपरेटरको प्रोफाइल आयात गर्नु सामान्य व्यवस्था हो, र प्रोफाइल आफ्नै जाँचको योग्य छ: कसले जारी गर्यो, कसरी पुर्याइयो, र सर्भर प्रमाणपत्रले तपाईंले अपेक्षा गरेको नामसँग मिल्छ कि मिल्दैन।

तपाईंका नोटमा दुवै उत्पत्ति पहिचानयोग्य राख्नुहोस्। क्लाइन्ट बदलिँदा वा उपकरण ब्याकअपबाट पुनःस्थापित हुँदा, ती दुई लाइनले नै अज्ञात बिल्ड वा अज्ञात प्रोफाइल बाँकी डेटासँग फर्किनबाट रोक्छन्।