Je tá VPN aplikácia oficiálny build alebo napodobenina?

Napodobňujúci softvér kopíruje názvy, ikony a snímky obrazovky a pripája sa dosť dobre na to, aby vyzeral vierohodne. Fungujúci tunel nie je dôkazom ničoho, pretože otázkou je, kto napísal binárny súbor. Berte to ako kontrolu totožnosti, nie ako bezpečnostný audit, a každú referenčnú hodnotu berte z kanála, ktorý ste si vybrali vy, nie zo stránky aplikácie. Nasleduje päť kontrol a každá môže zlyhať, kým ostatné prejdú. Robte ich v poradí, pretože neskoršia kontrola nemôže zachrániť skoršiu.

Získajte referenčné hodnoty z kanála, ktorý ste si vybrali

Otvorte oficiálne pokyny projektu na stiahnutie alebo spravovaný softvérový kanál vašej organizácie, skôr než sa pozriete, čo je nainštalované. Poznamenajte si očakávaného vydavateľa v obchode, totožnosť balíka alebo inštalátora a podporované platformy a potom túto poznámku uložte tam, kde ju pri ďalšej aktualizácii nájdete. Výsledok vyhľadávania ani sponzorované umiestnenie nie je tým kanálom a platené umiestnenie stojí nad organickým výsledkom práve preto, že ľudia klikajú na prvú zhodu. Keď stránku overíte, uložte si ju do záložiek, aby ďalšie sťahovanie začalo rozhodnutím a nie opakovaným hľadaním.

Zrkadlo alebo úložisko balíkov tretej strany je tiež kanál a je len také dôveryhodné, aký je jeho prevádzkovateľ. Zapíšte si, ktoré ste použili, pretože práve tento detail ľudia medzi aktualizáciami zabúdajú.

Porovnávajte nainštalovaného vydavateľa, nie názov

Oprite sa o vlastné záznamy platformy o podpisoch a aplikáciách, kde existujú, a potom si prečítajte verziu, cestu aktualizácie a povolenia, ktoré aplikácia požadovala. Všimnúť si platný podpis nie je to isté ako všimnúť si vydavateľa, ktorého ste očakávali, pretože certifikát potvrdzuje len to, že binárny súbor podpísal ten, kto ho vlastní. Podpis od spoločnosti, o ktorej ste nikdy nepočuli, je stále platný podpis, a preto musí kontrola pomenovať stranu, ktorú ste mali na mysli. Inštalátor, ktorý prináša ďalší softvér, žiada certifikát alebo otvára výzvu na účet, ktorú ste nečakali, potrebuje vysvetlenie z vlastnej dokumentácie produktu.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Spustite kontrolu, ktorá zodpovedá platforme, a porovnajte jej výstup s referenčnou poznámkou z prvého kroku. Nesúlad v poli vydavateľa je informatívnejší ako akákoľvek vizuálna podobnosť, pretože ikonu nič nestojí skopírovať. Ak výstup uvádza organizáciu, ktorá sa nikde v dokumentácii projektu nevyskytuje, zastavte sa a neprihlasujte sa.

Čo nainštalovaný podpis skutočne dokazuje

Keď projekt zverejňuje kontrolné súčty, podpisy alebo kľúče vydania, prejdite celý postup, ktorý dokumentuje, vrátane časti o získaní referenčného kľúča. Kontrolný súčet vytlačený na tej istej stránke ako stiahnutie dokazuje len to, že súbor zodpovedá tejto stránke, čo je slabšie tvrdenie, než sa zdá. Užitočná otázka je, či sa podpis reťazí k totožnosti, ktorú projekt dokumentuje, cestou, ktorú napodobenina nekontroluje. Práve tento krok ľudia skracujú na to, či súbor vôbec má podpis.

Kľúč stiahnutý z key servera a odtlačok vytlačený v README nie sú rovnocenné dôkazy. Rozhodnite, ktorý ste skutočne použili, než súbor označíte za overený.

Keď je aplikácia pravá, ale profil nie

Klient a serverový profil pochádzajú od dvoch rôznych vydavateľov a ich zámena je samostatné zlyhanie od inštalácie nesprávneho binárneho súboru. Build OpenVPN udržiavaný jedným projektom bez problémov načíta konfiguráciu napísanú nesúvisiacim prevádzkovateľom, a to je normálne správanie, nie dôkaz kompromitácie. Platí to aj opačne: legitímny profil nerobí neoficiálneho klienta dôveryhodným. Overujte každý objekt proti jeho vlastnému zdroju a nikdy nedovoľte, aby fungujúce pripojenie zlúčilo dve kontroly do jednej.

Pred konaním sa opýtajte, ktorý z dvoch objektov je skutočne sporný, pretože náprava sa líši. Zlý klient znamená preinštalovanie, kým zlý profil znamená zmazať jeden súbor a znova ho vydať.

Konajte pri neistote a potom poriadne upracte

Ak totožnosť zostáva neistá, prestaňte poskytovať prihlasovacie údaje a získajte softvér nezávisle cez overený kanál, ktorý ste si uložili. Postupujte podľa pokynov platformy pre nežiaduce aplikácie, namiesto toho aby ste zmazali priečinok a dúfali. Potom si poznamenajte vydavateľa, verziu a metódu overenia, ktoré ste prijali, aby sa dalo ďalšiu aktualizáciu porovnať so skutočnosťou a nie s pamäťou.

Po legitímnej výmene prejdite staré profily a udelené povolenia v klientovi aj v operačnom systéme. Odinštalovanie stiahnutého súboru ponechá nainštalovanú aplikáciu na mieste a starý profil môže prežiť klienta, ktorý ho vytvoril, a pritom stále ukazovať na koncový bod, ktorý nikto neudržiava. Oficiálna inštalačná stránka WireGuardu je slušným príkladom referencie, ktorú sa oplatí uchovať: je to vlastný zoznam vývojára, nie zrkadlo.