Er den VPN-appen den offisielle utgåva eller ein kopi?

Kopiprogramvare kopierer namn, ikon og skjermbilete, og ho koplar seg godt nok til å verke overbevisande. At tunnelen verkar er ikkje prov for noko, fordi spørsmålet er kven som skreiv binærfilen. Behandle dette som ein identitetskontroll og ikkje som ein tryggingsrevisjon, og hent kvar referanseverdi frå ein kanal du sjølv har valt, ikkje frå sida til appen sjølv. Fem kontrollar følgjer, og kvar av dei kan feile medan dei andre går gjennom. Gjer dei i rekkjefølgje, fordi ein seinare kontroll kan ikkje redde ein tidlegare.

Hent referanseverdiane dine frå ein kanal du sjølv har valt

Opne dei offisielle nedlastingsinstruksjonane til prosjektet, eller den styrte programvarekanalen til organisasjonen din, før du ser på kva som er installert. Noter den forventa utgjevaren i butikken, identiteten til pakken eller installasjonsprogrammet og dei støtta plattformene, og oppbevar notatet der du finn det ved neste oppdatering. Eit søkjeresultat eller ei sponsa plassering er ikkje den kanalen, og den betalte plasseringa står over det organiske resultatet nettopp fordi folk klikkar på det første treffet. Bokmerk sida når du har stadfesta ho, slik at neste nedlasting startar med ei avgjerd og ikkje med eit gjenteke søk.

Eit spegel eller eit tredjeparts pakkearkiv er også ein kanal, og han er berre så påliteleg som operatøren sin. Skriv ned kven du brukte, for det er nettopp den detaljen folk gløymer mellom oppdateringar.

Samanlikn den installerte utgjevaren, ikkje namnet

Lene deg på plattforma sine eigne signatur- og applikasjonsregister der dei finst, og les deretter versjonen, oppdateringsvegen og løyva appen bad om. Å oppdage ein gyldig signatur er ikkje det same som å oppdage utgjevaren du forventa, fordi eit sertifikat berre stadfestar at ei binærfil vart signert av den som har ho. Ein signatur frå eit selskap du aldri har høyrt om er framleis ein gyldig signatur, og difor må testen nemne parten du meinte. Eit installasjonsprogram som tar med ekstra programvare, ber om eit sertifikat eller opnar ei kontoførespurnad du ikkje forventa, treng ei forklaring frå dokumentasjonen til produktet sjølv.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Køyr kontrollen som passar plattforma, og samanlikn utdataa med referansenotatet du laga i første trinn. Avvik i utgjevarfeltet er meir informativt enn nokon grad av visuell likskap, fordi eit ikon kostar ingenting å kopiere. Viss utdataa nemner ein organisasjon som ikkje finst nokon stad i dokumentasjonen til prosjektet, stopp der og ikkje logg inn.

Kva den installerte signaturen faktisk beviser

Når eit prosjekt publiserer kontrollsummar, signaturar eller utgivingsnøklar, gå gjennom heile prosedyren det dokumenterer, inkludert delen om å skaffe referansenøkkelen. Ein kontrollsum trykt på same sida som nedlastinga beviser berre at fila samsvarer med den sida, noko som er ei svakare påstand enn det ser ut som. Det nyttige spørsmålet er om signaturen kjeder til identiteten prosjektet dokumenterer, via ein veg kopien ikkje kontrollerer. Dette er trinnet folk forkortar til om fila i det heile har ein signatur.

Ein nøkkel henta frå ein nøkkelserver og eit fingeravtrykk trykt i ein README er ikkje likeverdige prov. Avgjer kven du faktisk brukte før du kallar fila stadfesta.

Når appen er ekte, men profilen ikkje er det

Ein klient og ein serverprofil kjem frå to ulike utgivarar, og å forveksle dei er ein annan feil enn å installere feil binærfil. Ei OpenVPN-utgåve vedlikehalden av eitt prosjekt lastar gjerne ein konfigurasjon skriven av ein uvedkomande operatør, og det er normal åtferd og ikkje prov på kompromittering. Det motsette gjeld også: ein legitim profil gjer ikkje ein uoffisiell klient påliteleg. Stadfest kvart objekt mot si eiga kjelde, og lat aldri ei fungerande tilkopling smelte to kontrollar saman til éin.

Spør kva av dei to objekta som faktisk er i tvil før du handlar, fordi botemiddelet er ulikt. Ein dårleg klient betyr reinstallering, medan ein dårleg profil betyr å slette éi fil og gje ho ut på nytt.

Handle ved usikkerheit, og rydd deretter ordentleg opp

Viss identiteten blir verande usikker, slutt å gje opplysningar om innlogging og skaff programvara sjølvstendig via den stadfesta kanalen du bokmerkte. Følg rettleiinga til plattforma for uønska program i staden for å slette ei mappe og håpe. Noter deretter utgjevaren, versjonen og stadfestingsmetoden du godtok, slik at neste oppdatering kan samanliknast med eit faktum og ikkje med minnet.

Etter ei legitim utskifting, gå gjennom dei gamle profilane og løyva i både klienten og operativsystemet. Avinstallering av den nedlasta fila lèt det installerte programmet bli liggjande, og ein gammal profil kan overleve klienten som laga han medan han framleis peikar på eit endepunkt ingen vedlikeheld. Den offisielle installasjonssida til WireGuard er eit godt døme på den typen referanse det er verdt å behalde: det er utviklaren si eiga liste og ikkje eit spegel.