Это официальная сборка VPN-приложения или подделка?

Подражательное ПО копирует имена, значки и скриншоты и подключается достаточно хорошо, чтобы выглядеть убедительно. Работающий туннель ничего не доказывает, потому что вопрос в том, кто написал бинарный файл. Относитесь к этому как к проверке личности, а не как к аудиту безопасности, и берите каждое контрольное значение из канала, который выбрали вы сами, а не со страницы самого приложения. Далее следуют пять проверок, и каждая может провалиться, пока остальные проходят. Выполняйте их по порядку, потому что более поздняя проверка не может спасти более раннюю.

Возьмите контрольные значения из канала, который выбрали вы

Откройте официальные инструкции проекта по загрузке или управляемый канал программ вашей организации, прежде чем смотреть, что установлено. Запишите ожидаемого издателя в магазине, идентичность пакета или установщика и поддерживаемые платформы, а затем храните эту заметку там, где найдёте её при следующем обновлении. Результат поиска или рекламное размещение — не этот канал, а платное размещение стоит выше органического результата именно потому, что люди нажимают на первое совпадение. Добавьте страницу в закладки после проверки, чтобы следующая загрузка начиналась с решения, а не с повторного поиска.

Зеркало или стороннее хранилище пакетов — тоже канал, и он надёжен ровно настолько, насколько надёжен его оператор. Запишите, каким пользовались, потому что именно эту деталь люди забывают между обновлениями.

Сравнивайте установленного издателя, а не имя

Опирайтесь на собственные записи подписей и приложений платформы там, где они есть, а затем прочитайте версию, путь обновления и разрешения, которые запросило приложение. Заметить действительную подпись — не то же самое, что заметить ожидаемого издателя, потому что сертификат удостоверяет лишь то, что бинарный файл подписан тем, кто им владеет. Подпись компании, о которой вы никогда не слышали, всё равно действительна, поэтому проверка должна назвать ту сторону, которую вы имели в виду. Установщик, который приносит дополнительное ПО, запрашивает сертификат или открывает окно учётной записи, которого вы не ждали, требует объяснения из документации самого продукта.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Выполните проверку, подходящую платформе, и сравните её вывод с контрольной заметкой из первого шага. Расхождение в поле издателя информативнее любого визуального сходства, потому что скопировать значок ничего не стоит. Если в выводе названа организация, которой нет нигде в документации проекта, остановитесь и не входите в систему.

Что на самом деле доказывает установленная подпись

Когда проект публикует контрольные суммы, подписи или ключи выпуска, пройдите всю документированную процедуру, включая часть о получении эталонного ключа. Контрольная сумма, напечатанная на той же странице, что и загрузка, доказывает лишь то, что файл соответствует этой странице, а это более слабое утверждение, чем кажется. Полезный вопрос — цепочка подписи ведёт к личности, которую документирует проект, по пути, который подделка не контролирует. Именно этот шаг люди сокращают до вопроса, есть ли у файла подпись вообще.

Ключ, полученный с сервера ключей, и отпечаток, напечатанный в README, — не равноценные доказательства. Решите, какой из них вы действительно использовали, прежде чем называть файл проверенным.

Когда приложение настоящее, а профиль нет

Клиент и профиль сервера происходят от двух разных издателей, и путать их — отдельная ошибка от установки неправильного бинарного файла. Сборка OpenVPN, которую поддерживает один проект, охотно загрузит конфигурацию, написанную посторонним оператором, и это нормальное поведение, а не доказательство компрометации. Верно и обратное: законный профиль не делает неофициальный клиент заслуживающим доверия. Проверяйте каждый объект по его собственному источнику и никогда не позволяйте работающему соединению слить две проверки в одну.

Спросите, какой из двух объектов действительно под сомнением, прежде чем действовать, потому что средство разное. Плохой клиент означает переустановку, а плохой профиль — удаление одного файла и его повторную выдачу.

Действуйте при неопределённости, а затем аккуратно уберите

Если личность остаётся неясной, прекратите передавать учётные данные и получите программу самостоятельно через проверенный канал, который вы добавили в закладки. Следуйте указаниям платформы о нежелательных приложениях, вместо того чтобы удалять папку и надеяться. Затем запишите издателя, версию и метод проверки, которые вы приняли, чтобы следующее обновление можно было сравнить с фактом, а не с памятью.

После законной замены пройдите старые профили и выданные разрешения и в клиенте, и в операционной системе. Удаление загруженного файла оставляет установленное приложение на месте, а старый профиль может пережить создавший его клиент, всё ещё указывая на конечную точку, которую никто не поддерживает. Официальная страница установки WireGuard — хороший пример того, какую ссылку стоит сохранить: это собственный список разработчика, а не зеркало.