Essa aplicação VPN é a compilação oficial ou uma imitação?

O software imitador copia nomes, ícones e capturas de tela, e conecta-se bem o suficiente para parecer convincente. O túnel funcionar não é prova de nada, porque a pergunta é quem escreveu o binário. Trate isto como uma verificação de identidade e não como uma auditoria de segurança, e retire cada valor de referência de um canal que tenha escolhido, e não da página da própria aplicação. Seguem-se cinco verificações, e cada uma pode falhar enquanto as outras passam. Faça-as por ordem, porque uma verificação posterior não pode salvar uma anterior.

Obtenha os seus valores de referência num canal que tenha escolhido

Abra as instruções oficiais de descarregamento do projeto, ou o canal de software gerido da sua organização, antes de ver o que está instalado. Anote o editor esperado na loja, a identidade do pacote ou do instalador e as plataformas suportadas, e depois guarde essa nota onde a encontre na próxima atualização. Um resultado de pesquisa ou uma colocação patrocinada não é esse canal, e a colocação paga fica acima do resultado orgânico precisamente porque as pessoas clicam na primeira correspondência. Marque a página nos favoritos depois de a verificar, para que o próximo descarregamento comece numa decisão e não numa pesquisa repetida.

Um espelho ou um repositório de pacotes de terceiros também é um canal, e é apenas tão fiável como o seu operador. Anote qual utilizou, porque é exatamente esse detalhe que as pessoas esquecem entre atualizações.

Compare o editor instalado, não o nome

Apoie-se nos registos de assinaturas e de aplicações da própria plataforma, onde existirem, e depois leia a versão, a rota de atualização e as permissões que a aplicação pediu. Detetar uma assinatura válida não é o mesmo que detetar o editor que esperava, porque um certificado atesta apenas que um binário foi assinado por quem o possui. Uma assinatura de uma empresa de que nunca ouviu falar continua a ser uma assinatura válida, e é por isso que o teste tem de nomear a parte que tinha em mente. Um instalador que traz software adicional, pede um certificado ou abre um aviso de conta que não esperava, precisa de uma explicação da documentação do próprio produto.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Execute a verificação adequada à plataforma e compare a saída com a nota de referência feita no primeiro passo. Uma divergência no campo do editor é mais informativa do que qualquer semelhança visual, porque um ícone não custa nada a copiar. Se a saída nomear uma organização que não aparece em lado nenhum na documentação do projeto, pare aí e não inicie sessão.

O que a assinatura instalada prova realmente

Quando um projeto publica somas de verificação, assinaturas ou chaves de lançamento, percorra todo o procedimento que documenta, incluindo a parte sobre obter a chave de referência. Uma soma de verificação impressa na mesma página do descarregamento prova apenas que o ficheiro corresponde a essa página, o que é uma afirmação mais fraca do que parece. A pergunta útil é se a assinatura encadeia na identidade documentada pelo projeto, através de um caminho que a imitação não controla. É este o passo que as pessoas abreviaram para «o ficheiro tem assinatura ou não».

Uma chave obtida num servidor de chaves e uma impressão digital impressa num README não são provas equivalentes. Decida qual utilizou realmente antes de chamar ao ficheiro verificado.

Quando a aplicação é autêntica mas o perfil não

Um cliente e um perfil de servidor vêm de dois emissores diferentes, e confundi-los é uma falha distinta de instalar o binário errado. Uma compilação de OpenVPN mantida por um projeto carregará sem problemas uma configuração escrita por um operador alheio, e isso é um comportamento normal e não uma prova de comprometimento. O contrário também é verdade: um perfil legítimo não torna fiável um cliente não oficial. Verifique cada objeto contra a sua própria fonte e nunca deixe que uma ligação funcional funda duas verificações numa só.

Pergunte qual dos dois objetos está realmente em dúvida antes de agir, porque o remédio é diferente. Um cliente mau significa reinstalar, enquanto um perfil mau significa apagar um ficheiro e emiti-lo de novo.

Aja perante a incerteza e depois limpe como deve ser

Se a identidade continuar incerta, deixe de fornecer credenciais e obtenha o software de forma independente através do canal verificado que guardou nos favoritos. Siga as orientações da plataforma para aplicações indesejadas em vez de apagar uma pasta e esperar. Depois anote o editor, a versão e o método de verificação que aceitou, para que a próxima atualização possa ser comparada com um facto e não com a memória.

Após uma substituição legítima, reveja os perfis antigos e as autorizações concedidas tanto no cliente como no sistema operativo. Desinstalar o ficheiro descarregado deixa a aplicação instalada no lugar, e um perfil antigo pode sobreviver ao cliente que o criou enquanto ainda aponta para um ponto final que ninguém mantém. A página oficial de instalação do WireGuard é um bom exemplo do tipo de referência que vale a pena guardar: é a lista do próprio desenvolvedor e não um espelho.