Inštalátor VPN zo zrkadla? Najprv overte vydavateľa

Tunel fungoval, rozhranie sa objavilo a relácia zostala stabilná celý týždeň. Nič z toho vám nepovie, kto inštalátor zostavil. Klient VPN beží s dostatočnými oprávneniami na prepisovanie trás a čítanie prihlasovacích údajov, takže vydavateľ je súčasťou modelu hrozieb, nie poznámkou pod čiarou.

Vykonávajte kontroly v poradí a zastavte sa pri prvej, ktorá zlyhá. Sú lacné a každá uzatvára inú medzeru.

Prvý krok: Sťahujte z kanála, ktorý projekt uvádza

Každý projekt dokumentuje, kde sídlia jeho vydania, a táto stránka je referenciou. Komunitné zostavenia, položky v obchodoch a portály dodávateľov sú všetky legitímne kanály. Každý z nich je legitímny len vtedy, keď naň odkazuje samotný projekt. To je test a nie je to to isté ako vyzerať oficiálne.

Súbor pomenovaný po projekte nič nedokazuje. Premenovať inštalátor je operácia na sekundu a práve názov ukáže výsledok hľadania ako prvý.

Druhý krok: Overte podpis voči známej identite

Overenie podpisu dobre odpovedá na úzku otázku. Hovorí vám, že určitá identita podpísala tento binárny súbor a že súbor sa odvtedy nezmenil. Odpovedá na jednu otázku a inú odmieta. Nedokáže vám povedať, či je tá identita tou, ktorej ste chceli dôverovať.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Čítajte identitu, nie slovo stavu. Nesúvisiaci vývojár s platným certifikátom vytvára platný podpis. Operačný systém, ktorý hlási uznávaného vydavateľa, vám povedal len to, že niekto za certifikát zaplatil.

Tretí krok: Porovnajte hash s nezávislým zdrojom

Kontrolný súčet dokazuje zhodu s referenčnou hodnotou. Ak referencia dorazila vedľa sťahovania, obe môžu byť nesprávne súčasne a porovnanie napriek tomu prejde. To je spôsob zlyhania vo väčšine návodov. Hash leží na tej istej stránke ako súbor, ktorý opisuje.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Keď projekt zverejňuje podpísané kontrolné súčty alebo podpísaný manifest vydania, overujte podpis nad zoznamom, nie nad každým súborom zvlášť. Tak jedna dôveryhodná referencia pokrýva celé vydanie.

Po inštalácii: Zachovajte cestu aktualizácie

Podporovaný kanál zostáva dôležitý aj po dokončení inštalácie. Prebalené zostavenia môžu niesť vlastný aktualizátor a ten rozhoduje, čo bude budúci mesiac bežať. Zostavenie, ktoré sa nikdy neaktualizuje, nie je bezpečnejšie. Je jednoducho staršie.

Zaznamenajte, ako sa má klient aktualizovať a či tento krok vlastní systém správy. Ak je odpoveďou ručné stiahnutie z fóra, otázka dodávateľského reťazca sa nikdy skutočne neuzavrela.

Dva pôvody, nie jeden

Vývojár klienta a vydavateľ profilu sú oddelené strany. Oficiálny klient importujúci profil od nesúvisiaceho operátora je bežné usporiadanie a profil si zaslúži vlastnú previerku: kto ho vydal, ako bol doručený a či certifikát servera zodpovedá názvu, ktorý očakávate.

Udržujte oba pôvody vo svojich poznámkach rozpoznateľné. Vo chvíli, keď je klient nahradený alebo zariadenie obnovené zo zálohy, práve tieto dva riadky bránia tomu, aby sa neznáme zostavenie alebo neznámy profil vrátili s ostatnými údajmi.