ਓਪਨ ਸੋਰਸ VPN ਕਲਾਇੰਟ: ਕੋਡ ਕੀ ਸਾਬਤ ਕਰਦਾ ਹੈ ਅਤੇ ਕੀ ਨਹੀਂ
ਇੱਕ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀ ਸਰੋਤ ਕੋਡ ਬਾਰੇ ਸਬੂਤ ਹੈ, ਤੁਹਾਡੇ ਦੁਆਰਾ ਇੰਸਟਾਲ ਕੀਤੇ ਬਿਲਡ ਬਾਰੇ ਨਹੀਂ ਜਾਂ ਇਸਦੇ ਪਿੱਛੇ ਦੇ ਸਰਵਰਾਂ ਬਾਰੇ ਨਹੀਂ। ਰਿਲੀਜ਼ ਨੂੰ ਮਿਲਾਓ, ਫਿਰ ਸਮੀਖਿਆ ਦਾ ਦਾਇਰਾ ਵਧਾਓ।
ਸਰੋਤ ਪ੍ਰਕਾਸ਼ਿਤ ਹੋ ਚੁੱਕਾ ਹੈ, ਲਾਇਸੈਂਸ ਸਾਫ਼ ਹੈ, ਅਤੇ ਕਨੈਕਸ਼ਨ ਅਜੇ ਵੀ ਸ਼ੁਰੂ ਤੋਂ ਅੰਤ ਤੱਕ ਤਸਦੀਕ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ। ਇਹ ਖਾਲੀ ਥਾਂ ਆਮ ਹੈ, ਅਤੇ ਇਹ ਕੋਈ ਘੁਟਾਲਾ ਨਹੀਂ। ਕੋਡ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਨਾਲ ਇੱਕ ਹਿੱਸਾ ਉਹਨਾਂ ਲੋਕਾਂ ਲਈ ਜਾਂਚਯੋਗ ਹੋ ਜਾਂਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਸੱਦਾ ਨਹੀਂ ਦਿੱਤਾ ਗਿਆ, ਅਤੇ ਇਹ ਇੱਕ ਅਸਲੀ ਤੇ ਅਸਾਧਾਰਨ ਗੁਣ ਹੈ। ਇਸ ਤੋਂ ਇਹ ਨਹੀਂ ਨਿਕਲਦਾ ਕਿ ਤੁਸੀਂ ਜੋ ਬਾਈਨਰੀ ਇੰਸਟਾਲ ਕੀਤੀ ਹੈ ਉਹ ਉਸ ਕੋਡ ਤੋਂ ਆਈ ਹੈ, ਜਾਂ ਪ੍ਰਦਾਤਾ ਦੂਜੇ ਪਾਸੇ ਜੋ ਕੁਝ ਚਲਾਉਂਦਾ ਹੈ ਉਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਜਾਂਚਿਆ ਗਿਆ ਹੈ।
ਹਿੱਸੇ ਨੂੰ ਉਤਪਾਦ ਤੋਂ ਵੱਖ ਕਰੋ
ਚਾਰ ਚੀਜ਼ਾਂ ਓਪਨ ਸੋਰਸ ਲੇਬਲ ਲੈ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਉਹ ਸਾਰੀਆਂ ਖੁੱਲ੍ਹੀਆਂ ਹੋਣਾ ਘੱਟ ਹੀ ਹੁੰਦਾ ਹੈ। ਕਲਾਇੰਟ ਐਪਲੀਕੇਸ਼ਨ ਉਹ ਹੈ ਜੋ ਲੋਕ ਮੰਨਦੇ ਹਨ। ਇਸਦੇ ਹੇਠਾਂ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਲਾਗੂਕਰਨ ਇੱਕ ਹੋਰ ਕਲਾਕ੍ਰਿਤੀ ਹੈ, ਕਦੇ ਲਾਇਬ੍ਰੇਰੀ ਅਤੇ ਕਦੇ ਟ੍ਰੀ ਵਿੱਚ ਕੋਡ। ਸਰਵਰ ਸਾਫ਼ਟਵੇਅਰ ਤੀਜਾ ਹੈ, ਅਤੇ ਪ੍ਰਦਾਤਾ ਦਾ ਆਪਣਾ ਢਾਂਚਾ, ਖਾਤਾ ਪੋਰਟਲ ਅਤੇ ਸਹਾਇਤਾ ਸੰਦ ਚੌਥਾ ਹੈ। ਹਰ ਇੱਕ ਸੁਤੰਤਰ ਰੂਪ ਵਿੱਚ ਖੁੱਲ੍ਹਾ ਜਾਂ ਬੰਦ ਹੋ ਸਕਦਾ ਹੈ।
ਇਸ ਲਈ "ਸਾਡੀ ਐਪ ਓਪਨ ਸੋਰਸ ਹੈ" ਵਰਗੇ ਬਿਆਨ ਪਹਿਲੀ ਚੀਜ਼ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ ਅਤੇ ਬਾਕੀ ਨੂੰ ਬਿਨਾਂ ਜਵਾਬ ਛੱਡ ਦਿੰਦੇ ਹਨ, ਜੋ ਬੇਈਮਾਨੀ ਨਹੀਂ ਸਗੋਂ ਸ਼੍ਰੇਣੀ ਦੀ ਖਿਸਕਣ ਹੈ। ਕੰਮ ਦਾ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਕਿਹੜੀ ਰਿਪੋਜ਼ਟਰੀ, ਕਿਹੜੇ ਟੈਗ 'ਤੇ, ਉਸ ਹਿੱਸੇ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਭਰੋਸਾ ਕਰਦੇ ਹੋ।
ਇਹ ਫ਼ਰਕ ਇਹ ਵੀ ਸਮਝਾਉਂਦਾ ਹੈ ਕਿ ਇੱਕੋ ਜਿਹੇ ਖੁੱਲ੍ਹੇ ਕਲਾਇੰਟ ਵਾਲੇ ਦੋ ਉਤਪਾਦ ਬਹੁਤ ਵੱਖਰੀਆਂ ਗਾਰੰਟੀਆਂ ਕਿਵੇਂ ਦੇ ਸਕਦੇ ਹਨ। ਕਲਾਇੰਟ ਉਹ ਹਿੱਸਾ ਹੈ ਜੋ ਤੁਸੀਂ ਜਾਂਚ ਸਕਦੇ ਹੋ; ਆਪਰੇਟਰ ਦਾ ਵਿਵਹਾਰ ਉਹ ਹਿੱਸਾ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਹੋਰ ਸਾਧਨਾਂ ਨਾਲ ਮੁਲਾਂਕਣ ਕਰਨਾ ਹੈ।
ਇੰਸਟਾਲ ਕੀਤੇ ਬਿਲਡ ਨੂੰ ਪ੍ਰਕਾਸ਼ਿਤ ਟੈਗ ਨਾਲ ਮਿਲਾਓ
ਰਿਪੋਜ਼ਟਰੀ ਇਰਾਦੇ ਦਾ ਰਿਕਾਰਡ ਹੈ; ਤੁਹਾਡੀ ਡਿਸਕ 'ਤੇ ਬਾਈਨਰੀ ਉਹ ਚੀਜ਼ ਹੈ ਜੋ ਚੱਲਦੀ ਹੈ। ਇਹ ਖਾਲੀ ਥਾਂ ਭਰਨਾ ਇੱਕ ਮਸ਼ੀਨੀ ਅਭਿਆਸ ਹੈ, ਅਤੇ ਇਹ ਡਾਊਨਲੋਡ ਪੰਨੇ ਵੱਲੋਂ ਸ਼ੋਹਰਤ ਕੀਤੀ ਗਈ ਚੀਜ਼ ਨਹੀਂ ਸਗੋਂ ਇਹ ਪਛਾਣਨ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਕਿ ਅਸਲ ਵਿੱਚ ਕੀ ਇੰਸਟਾਲ ਹੈ।
| Component | What inspection can show | What it leaves untouched |
|---|---|---|
| Client source | How profiles, packets and optional telemetry are handled | Whether the shipped binary matches that source |
| Build output | Whether a declared build reproduces a matching artefact | Whether the source is correct or the toolchain is clean |
| Server software | What the implementation is capable of logging | What the operator actually configures and retains |
| Account and support systems | Almost nothing, unless they are separately published | Everything about how those systems treat your data |
ਪੈਕੇਜ ਮੈਟਾਡੇਟਾ ਤੁਹਾਨੂੰ ਸੰਸਕਰਣ ਅਤੇ ਮੂਲ ਦੱਸਦਾ ਹੈ, ਜੋ ਪੁਰਾਣੇ ਜਾਂ ਬਦਲੇ ਹੋਏ ਪੈਕੇਜ ਦੇ ਸਧਾਰਨ ਕੇਸ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ। ਪਰ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਉਹ ਪੈਕੇਜ ਕਿਵੇਂ ਕੰਪਾਇਲ ਹੋਇਆ, ਅਤੇ ਇਸੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦੇਣ ਲਈ ਦੁਬਾਰਾ ਤਿਆਰ ਕਰਨ ਯੋਗ ਬਿਲਡ ਮੌਜੂਦ ਹਨ। ਦੁਬਾਰਾ ਤਿਆਰ ਕਰਨ ਯੋਗ ਬਿਲਡ ਸੁਤੰਤਰ ਧਿਰ ਨੂੰ ਇੱਕੋ ਸਰੋਤ ਤੋਂ ਮੁੜ ਬਣਾਉਣ ਅਤੇ ਨਤੀਜੇ ਦੀ ਬਾਈਟ-ਦਰ-ਬਾਈਟ ਤੁਲਨਾ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ, ਤਾਂ ਜੋ ਅਸੰਗਤੀ ਸ਼ੱਕ ਦੀ ਥਾਂ ਸਬੂਤ ਬਣ ਜਾਵੇ।
ਸੰਪੂਰਨ ਮੇਲ ਵੀ ਲੋਕਾਂ ਦੀ ਆਸ ਨਾਲੋਂ ਘੱਟ ਸਾਬਤ ਕਰਦਾ ਹੈ। ਇਹ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕਲਾਕ੍ਰਿਤੀ ਸਰੋਤ ਅਤੇ ਬਿਲਡ ਨੁਸਖ਼ੇ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ, ਇਹ ਨਹੀਂ ਕਿ ਸਰੋਤ ਨੁਕਸ ਰਹਿਤ ਹੈ, ਅਤੇ ਇਹ ਨਹੀਂ ਕਿ ਵਰਤੀ ਗਈ ਸੰਦ ਲੜੀ ਭਰੋਸੇਯੋਗ ਸੀ। ਦੋਵੇਂ ਜਾਣਨ ਯੋਗ ਹਨ, ਪਰ ਇਹ ਵੱਖਰੇ ਦਾਅਵੇ ਹਨ।
dpkg -S /usr/bin/wg
apt-cache policy wireguard-tools
sha256sum /usr/bin/wgਲੱਛਣ ਆਮ ਤੌਰ 'ਤੇ ਕਿੱਥੋਂ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ
ਇਸ ਪੜ੍ਹਨ ਦਾ ਕਾਰਨ ਬਣਨ ਵਾਲੀ ਸ਼ਿਕਾਇਤ ਘੱਟ ਹੀ "ਕੋਡ ਬੰਦ ਹੈ" ਹੁੰਦੀ ਹੈ। ਆਮ ਤੌਰ 'ਤੇ ਇਹ ਇੱਕ ਖਾਸ ਨਿਰੀਖਣ ਹੁੰਦਾ ਹੈ: ਅਣਕਿਆਸੀ ਥਾਂ 'ਤੇ ਸੰਪਰਕ ਕਰਨ ਵਾਲਾ ਕਲਾਇੰਟ, ਰਿਲੀਜ਼ ਨੋਟਾਂ ਤੋਂ ਵੱਖਰਾ ਸੰਸਕਰਣ, ਜਾਂ ਟਨਲ ਨੂੰ ਲੋੜ ਤੋਂ ਵੱਧ ਮੰਗਣ ਵਾਲੀ ਸਹਾਇਤਾ ਪ੍ਰਕਿਰਿਆ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਵੱਖਰੇ ਹਿੱਸੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।
ਕਲਾਇੰਟ ਤੋਂ ਅਣਕਿਆਸੀ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਕਲਾਇੰਟ ਸਰੋਤ ਕੋਡ ਦਾ ਸਵਾਲ ਹੈ, ਅਤੇ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹਣ ਵਾਲੇ ਕੋਡ ਮਾਰਗ ਨੂੰ ਪੜ੍ਹ ਕੇ ਇਸਦਾ ਜਵਾਬ ਦਿੱਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਸੰਸਕਰਣ ਦੀ ਅਸੰਗਤੀ ਪੈਕੇਜਿੰਗ ਦਾ ਸਵਾਲ ਹੈ। ਪਛਾਣ ਦਸਤਾਵੇਜ਼ ਮੰਗਣ ਵਾਲੀ ਸਹਾਇਤਾ ਪ੍ਰਕਿਰਿਆ ਖਾਤਾ ਸਿਸਟਮ ਦਾ ਸਵਾਲ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ ਕਲਾਇੰਟ ਆਡਿਟ ਇਸਨੂੰ ਹੱਲ ਨਹੀਂ ਕਰੇਗਾ।
ਹਿੱਸੇ ਦਾ ਨਾਮ ਲੈਣ ਨਾਲ ਧੁੰਦਲਾ ਅਵਿਸ਼ਵਾਸ ਖਾਸ ਜਾਂਚ ਬਣ ਜਾਂਦਾ ਹੈ। ਖਾਸ ਜਾਂਚ ਦਾ ਜਵਾਬ ਦਿੱਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਇਸ ਨਾਲ ਬਹਿਸ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜਾਂ ਇਸਨੂੰ ਬੰਦ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਬਦਲ ਇਹ ਹੈ ਕਿ ਅਗਲੇ ਕਦਮ ਤੋਂ ਬਿਨਾਂ ਸਥਾਈ ਸ਼ੱਕ।
ਸਮੀਖਿਆ ਕਿੱਥੇ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦੀ, ਅਤੇ ਇਸਦੀ ਥਾਂ ਕੀ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ
ਪ੍ਰਦਾਤਾ ਦੇ ਸਰਵਰਾਂ 'ਤੇ ਸੰਭਾਲ ਕਲਾਇੰਟ ਦੀ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਹੈ। ਬਿਲਿੰਗ ਪੋਰਟਲ, ਧੋਖਾਧੜੀ ਜਾਂਚਣ ਵਾਲੇ ਵਿਕਰੇਤਾ ਜਾਂ ਅਟੈਚਮੈਂਟ ਰੱਖਣ ਵਾਲੇ ਸਹਾਇਤਾ ਡੈਸਕ ਦਾ ਵਿਵਹਾਰ ਵੀ ਇਹੀ ਹੈ। "ਅਸੀਂ ਸੇਵਾ ਦਾ ਆਡਿਟ ਕੀਤਾ" ਤੱਕ ਖਿੱਚੀ ਗਈ ਕਲਾਇੰਟ ਸਮੀਖਿਆ ਅਜਿਹਾ ਦਾਅਵਾ ਕਰਦੀ ਹੈ ਜਿਸਨੂੰ ਸਬੂਤ ਸਹਾਰਾ ਨਹੀਂ ਦਿੰਦੇ।
ਪੜ੍ਹੋ ਕਿ ਆਪਰੇਟਰ ਸੰਭਾਲ ਅਤੇ ਬੇਨਤੀਆਂ ਬਾਰੇ ਕੀ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਦਾ ਹੈ, ਤਾਰੀਖ਼ ਨੋਟ ਕਰੋ, ਅਤੇ ਇਸਨੂੰ ਮਾਪ ਨਹੀਂ ਸਗੋਂ ਹਿੱਤਧਾਰਕ ਧਿਰ ਦਾ ਬਿਆਨ ਮੰਨੋ। ਇਹ ਸਬੂਤ ਦਾ ਕਮਜ਼ੋਰ ਰੂਪ ਹੈ, ਅਤੇ ਦੁਬਾਰਾ ਦੱਸਣ ਵੇਲੇ ਇਸਨੂੰ ਉੱਚਾ ਕਰਨ ਨਾਲੋਂ ਫ਼ਰਕ ਸਪਸ਼ਟ ਕਹਿਣਾ ਵਧੇਰੇ ਲਾਹੇਵੰਦ ਹੈ।
ਫਿਰ ਤੁਹਾਡੇ ਕੋਲ ਜੋ ਹੈ ਉਸਨੂੰ ਕਈ ਇਨਪੁਟਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਜੋਂ ਵਰਤੋ: ਇੰਸਟਾਲ ਕੀਤੀ ਰਿਲੀਜ਼ ਦੀ ਪਛਾਣ, ਕੀ ਸਾਫ਼ਟਵੇਅਰ ਦੀ ਸੰਭਾਲ ਹੁੰਦੀ ਹੈ, ਕਲਾਇੰਟ ਕਿਵੇਂ ਸੰਰਚਿਤ ਹੈ, ਅਤੇ ਆਪਰੇਟਰ ਆਪਣੇ ਸਿਸਟਮਾਂ ਬਾਰੇ ਕੀ ਕਹਿੰਦਾ ਹੈ। ਓਪਨ ਕੋਡ ਉਸ ਮੁਲਾਂਕਣ ਨੂੰ ਇੱਕ ਬਿੰਦੂ 'ਤੇ ਮਜ਼ਬੂਤ ਕਰਦਾ ਹੈ। ਇਹ ਬਾਕੀ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ।
ਆਡਿਟ ਦੇ ਦਾਅਵੇ ਵਿੱਚ ਹਮੇਸ਼ਾ ਇਸਦੇ ਹਿੱਸਿਆਂ ਅਤੇ ਸੰਸਕਰਣਾਂ ਦੇ ਨਾਮ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ। ਜੇ ਕੋਈ ਰਿਪੋਰਟ ਇਹ ਨਹੀਂ ਦੱਸ ਸਕਦੀ ਕਿ ਉਸਨੇ ਕਿਹੜੀ ਰਿਪੋਜ਼ਟਰੀ ਅਤੇ ਕਿਹੜਾ ਬਿਲਡ ਜਾਂਚਿਆ, ਤਾਂ ਉਹ ਉਤਪਾਦ ਨਹੀਂ ਸਗੋਂ ਇਰਾਦੇ ਦਾ ਵਰਣਨ ਕਰ ਰਹੀ ਹੈ।