Aplicația aceea VPN este versiunea oficială sau o imitație?

Software-ul imitator copiază nume, pictograme și capturi de ecran și se conectează suficient de bine încât să pară convingător. Faptul că tunelul funcționează nu este dovada nimic, pentru că întrebarea este cine a scris binarul. Tratați asta ca pe o verificare de identitate, nu ca pe un audit de securitate, și luați fiecare valoare de referință dintr-un canal pe care l-ați ales dumneavoastră, nu de pe pagina aplicației. Urmează cinci verificări și fiecare poate eșua în timp ce celelalte trec. Faceți-le în ordine, pentru că o verificare ulterioară nu poate salva una anterioară.

Luați valorile de referință dintr-un canal pe care l-ați ales

Deschideți instrucțiunile oficiale de descărcare ale proiectului, sau canalul de software administrat al organizației dumneavoastră, înainte de a vedea ce este instalat. Notați editorul așteptat din magazin, identitatea pachetului sau a instalatorului și platformele acceptate, apoi păstrați nota acolo unde o veți găsi la următoarea actualizare. Un rezultat de căutare sau o poziționare sponsorizată nu este acel canal, iar poziționarea plătită stă deasupra rezultatului organic exact pentru că oamenii dau clic pe prima potrivire. Adăugați pagina la favorite după ce o verificați, ca următoarea descărcare să înceapă cu o decizie și nu cu o căutare repetată.

O oglindă sau un depozit de pachete terț este și el un canal și este la fel de fiabil ca operatorul său. Notați pe care l-ați folosit, pentru că exact acel detaliu îl uită oamenii între actualizări.

Comparați editorul instalat, nu numele

Bazați-vă pe înregistrările de semnătură și de aplicații ale platformei, acolo unde există, apoi citiți versiunea, calea de actualizare și permisiunile cerute de aplicație. A observa o semnătură validă nu este același lucru cu a observa editorul pe care îl așteptați, pentru că un certificat atestă doar că un binar a fost semnat de cel care îl deține. O semnătură de la o companie de care nu ați auzit niciodată rămâne o semnătură validă, de aceea testul trebuie să numească partea la care v-ați gândit. Un instalator care aduce software suplimentar, cere un certificat sau deschide o fereastră de cont la care nu vă așteptați, are nevoie de o explicație din documentația produsului însuși.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Rulați verificarea potrivită platformei și comparați rezultatul cu nota de referință făcută la primul pas. O nepotrivire în câmpul editorului este mai informativă decât orice asemănare vizuală, pentru că o pictogramă nu costă nimic de copiat. Dacă rezultatul numește o organizație care nu apare nicăieri în documentația proiectului, opriți-vă acolo și nu vă conectați.

Ce dovedește de fapt semnătura instalată

Când un proiect publică sume de control, semnături sau chei de lansare, parcurgeți întreaga procedură documentată, inclusiv partea despre obținerea cheii de referință. O sumă de control tipărită pe aceeași pagină cu descărcarea dovedește doar că fișierul corespunde acelei pagini, ceea ce este o afirmație mai slabă decât pare. Întrebarea utilă este dacă semnătura se înlănțuie la identitatea documentată de proiect, printr-o cale pe care imitația nu o controlează. Acesta este pasul pe care oamenii îl scurtează la întrebarea dacă fișierul are sau nu semnătură.

O cheie luată de pe un server de chei și o amprentă tipărită într-un README nu sunt dovezi echivalente. Decideți pe care ați folosit-o efectiv înainte de a numi fișierul verificat.

Când aplicația este autentică, dar profilul nu

Un client și un profil de server provin de la doi emitenți diferiți, iar confundarea lor este o eroare separată de instalarea binarului greșit. O versiune OpenVPN întreținută de un proiect va încărca bucuroasă o configurație scrisă de un operator nelegat, iar asta este un comportament normal și nu o dovadă de compromitere. Și invers este adevărat: un profil legitim nu face un client neoficial de încredere. Verificați fiecare obiect față de propria sursă și nu lăsați niciodată o conexiune funcțională să contopească două verificări într-una singură.

Întrebați care dintre cele două obiecte este de fapt îndoielnic înainte de a acționa, pentru că remediul diferă. Un client prost înseamnă reinstalare, în timp ce un profil prost înseamnă ștergerea unui fișier și reemiterea lui.

Acționați în incertitudine, apoi curățați cum trebuie

Dacă identitatea rămâne incertă, opriți furnizarea de credențiale și obțineți software-ul independent prin canalul verificat pe care l-ați adăugat la favorite. Urmați îndrumările platformei privind aplicațiile nedorite în loc să ștergeți un folder și să sperați. Apoi notați editorul, versiunea și metoda de verificare pe care le-ați acceptat, ca următoarea actualizare să poată fi comparată cu un fapt și nu cu memoria.

După o înlocuire legitimă, treceți prin profilele vechi și permisiunile acordate atât în client, cât și în sistemul de operare. Dezinstalarea fișierului descărcat lasă aplicația instalată la locul ei, iar un profil vechi poate supraviețui clientului care l-a creat continuând să indice un punct final pe care nimeni nu îl întreține. Pagina oficială de instalare a WireGuard este un bun exemplu al tipului de referință care merită păstrat: este lista dezvoltatorului însuși, nu o oglindă.