Czy ta aplikacja VPN to oficjalna wersja, czy imitacja?

Oprogramowanie imitujące kopiuje nazwy, ikony i zrzuty ekranu, i łączy się wystarczająco dobrze, by wyglądać przekonująco. Działanie tunelu nie jest dowodem na nic, bo pytanie brzmi, kto napisał plik binarny. Potraktuj to jako kontrolę tożsamości, a nie audyt bezpieczeństwa, i bierz każdą wartość referencyjną z kanału, który sam wybrałeś, a nie ze strony samej aplikacji. Następuje pięć kontroli i każda może się nie udać, podczas gdy inne przechodzą. Wykonuj je po kolei, bo późniejsza kontrola nie może uratować wcześniejszej.

Wartości referencyjne pobierz z kanału, który sam wybrałeś

Otwórz oficjalne instrukcje pobierania projektu albo zarządzany kanał oprogramowania swojej organizacji, zanim spojrzysz na to, co jest zainstalowane. Zapisz oczekiwanego wydawcę w sklepie, tożsamość pakietu lub instalatora oraz obsługiwane platformy, a potem trzymaj tę notatkę tam, gdzie znajdziesz ją przy następnej aktualizacji. Wynik wyszukiwania ani płatne miejsce nie są tym kanałem, a płatne miejsce znajduje się nad wynikiem organicznym właśnie dlatego, że ludzie klikają pierwsze dopasowanie. Dodaj stronę do zakładek, gdy ją zweryfikujesz, aby następne pobranie zaczynało się od decyzji, a nie od powtarzanego wyszukiwania.

Lustro albo repozytorium pakietów innej firmy to także kanał i jest ono tak wiarygodne, jak jego operator. Zapisz, którego użyłeś, bo właśnie ten szczegół ludzie zapominają między aktualizacjami.

Porównaj zainstalowanego wydawcę, a nie nazwę

Oprzyj się na własnych rejestrach podpisów i aplikacji platformy, tam gdzie istnieją, a potem przeczytaj wersję, ścieżkę aktualizacji i uprawnienia, o które prosiła aplikacja. Zauważenie ważnego podpisu nie jest tym samym, co zauważenie oczekiwanego wydawcy, bo certyfikat poświadcza tylko, że plik binarny podpisał ten, kto go posiada. Podpis firmy, o której nigdy nie słyszałeś, nadal jest ważnym podpisem, dlatego test musi nazwać stronę, którą miałeś na myśli. Instalator, który przynosi dodatkowe oprogramowanie, prosi o certyfikat albo otwiera okno konta, którego się nie spodziewałeś, wymaga wyjaśnienia z dokumentacji samego produktu.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Uruchom kontrolę odpowiednią dla platformy i porównaj jej wynik z notatką referencyjną z pierwszego kroku. Rozbieżność w polu wydawcy mówi więcej niż jakiekolwiek podobieństwo wizualne, bo skopiowanie ikony nic nie kosztuje. Jeśli wynik wymienia organizację, której nie ma nigdzie w dokumentacji projektu, zatrzymaj się tam i nie loguj się.

Co naprawdę dowodzi zainstalowany podpis

Gdy projekt publikuje sumy kontrolne, podpisy lub klucze wydania, przejdź całą opisaną procedurę, łącznie z częścią o uzyskaniu klucza referencyjnego. Suma kontrolna wydrukowana na tej samej stronie co pobieranie dowodzi tylko, że plik pasuje do tej strony, co jest słabszym twierdzeniem, niż wygląda. Użyteczne pytanie brzmi, czy podpis łańcuchowo prowadzi do tożsamości, którą dokumentuje projekt, ścieżką, której imitacja nie kontroluje. To właśnie ten krok ludzie skracają do pytania, czy plik w ogóle ma podpis.

Klucz pobrany z serwera kluczy i odcisk wydrukowany w README nie są równoważnymi dowodami. Zdecyduj, którego naprawdę użyłeś, zanim nazwiesz plik zweryfikowanym.

Gdy aplikacja jest prawdziwa, ale profil już nie

Klient i profil serwera pochodzą od dwóch różnych wystawców, a ich pomylenie to osobny błąd niż zainstalowanie niewłaściwego pliku binarnego. Wersja OpenVPN utrzymywana przez jeden projekt chętnie wczyta konfigurację napisaną przez niepowiązanego operatora, i jest to normalne zachowanie, a nie dowód naruszenia. Odwrotnie też jest prawdą: legalny profil nie czyni nieoficjalnego klienta godnym zaufania. Weryfikuj każdy obiekt względem jego własnego źródła i nigdy nie pozwól, by działające połączenie scaliło dwie kontrole w jedną.

Zapytaj, który z dwóch obiektów jest naprawdę wątpliwy, zanim zaczniesz działać, bo rozwiązanie jest inne. Zły klient oznacza ponowną instalację, a zły profil oznacza usunięcie jednego pliku i wydanie go ponownie.

Działaj w obliczu niepewności, a potem porządnie posprzątaj

Jeśli tożsamość pozostaje niepewna, przestań podawać dane logowania i zdobądź oprogramowanie niezależnie przez zweryfikowany kanał, który zapisałeś w zakładkach. Postępuj zgodnie ze wskazówkami platformy dotyczącymi niechcianych aplikacji, zamiast usuwać folder i mieć nadzieję. Potem zapisz wydawcę, wersję i metodę weryfikacji, które zaakceptowałeś, aby następną aktualizację można było porównać z faktem, a nie z pamięcią.

Po legalnej wymianie przejrzyj stare profile i nadane uprawnienia zarówno w kliencie, jak i w systemie operacyjnym. Odinstalowanie pobranego pliku zostawia zainstalowaną aplikację na miejscu, a stary profil może przeżyć klienta, który go utworzył, wciąż wskazując punkt końcowy, którego nikt nie utrzymuje. Oficjalna strona instalacji WireGuard to dobry przykład referencji, którą warto zachować: to lista samego dewelopera, a nie lustro.