Je ta aplikacija VPN uradna različica ali posnetek?

Posnemovalna programska oprema kopira imena, ikone in posnetke zaslona ter se poveže dovolj dobro, da deluje prepričljivo. Delovanje tunela ni dokaz za nič, ker je vprašanje, kdo je napisal binarno datoteko. To obravnavajte kot preverjanje identitete in ne kot varnostno revizijo, vsako referenčno vrednost pa vzemite iz kanala, ki ste ga izbrali sami, ne s strani same aplikacije. Sledi pet preverjanj in vsako lahko spodleti, medtem ko druga uspejo. Izvedite jih po vrsti, ker poznejše preverjanje ne more rešiti prejšnjega.

Referenčne vrednosti vzemite iz kanala, ki ste ga izbrali

Odprite uradna navodila projekta za prenos ali upravljani kanal programske opreme svoje organizacije, preden pogledate, kaj je nameščeno. Zapišite pričakovanega izdajatelja v trgovini, identiteto paketa ali namestitvenega programa in podprte platforme, nato pa to opombo hranite tam, kjer jo boste našli pri naslednji posodobitvi. Rezultat iskanja ali sponzorska uvrstitev ni ta kanal, plačana uvrstitev pa je nad organskim rezultatom prav zato, ker ljudje kliknejo prvo ujemanje. Ko stran preverite, jo dodajte med zaznamke, da se bo naslednji prenos začel z odločitvijo in ne s ponovnim iskanjem.

Zrcalo ali skladišče paketov tretje strani je tudi kanal in je zanesljivo le toliko, kolikor je zanesljiv njegov upravljavec. Zapišite, katerega ste uporabili, ker prav to podrobnost ljudje med posodobitvami pozabijo.

Primerjajte nameščenega izdajatelja, ne imena

Opirajte se na lastne zapise platforme o podpisih in aplikacijah, kjer obstajajo, nato preberite različico, pot posodabljanja in dovoljenja, ki jih je zahtevala aplikacija. Opaziti veljaven podpis ni isto kot opaziti pričakovanega izdajatelja, ker potrdilo potrjuje le, da je binarno datoteko podpisal tisti, ki jo ima. Podpis podjetja, za katero še niste slišali, je še vedno veljaven podpis, zato mora preverjanje imenovati stranko, ki ste jo imeli v mislih. Namestitveni program, ki prinaša dodatno programsko opremo, zahteva potrdilo ali odpre poziv za račun, ki ga niste pričakovali, potrebuje pojasnilo iz lastne dokumentacije izdelka.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Zaženite preverjanje, ki ustreza platformi, in njegov izhod primerjajte z referenčno opombo iz prvega koraka. Neskladje v polju izdajatelja je bolj informativno kot kakršna koli vizualna podobnost, ker kopiranje ikone nič ne stane. Če izhod navaja organizacijo, ki se nikjer ne pojavi v dokumentaciji projekta, se ustavite in se ne prijavite.

Kaj nameščeni podpis v resnici dokazuje

Ko projekt objavi kontrolne vsote, podpise ali ključe izdaje, pojdite skozi celoten dokumentirani postopek, vključno z delom o pridobitvi referenčnega ključa. Kontrolna vsota, natisnjena na isti strani kot prenos, dokazuje le, da se datoteka ujema s to stranjo, kar je šibkejša trditev, kot se zdi. Koristno vprašanje je, ali se podpis veriži do identitete, ki jo dokumentira projekt, po poti, ki je posnetek ne nadzira. Prav ta korak ljudje skrajšajo na vprašanje, ali ima datoteka sploh podpis.

Ključ, pridobljen s strežnika ključev, in odtis, natisnjen v README, nista enakovredna dokaza. Odločite se, katerega ste dejansko uporabili, preden datoteko označite za preverjeno.

Ko je aplikacija pristna, profil pa ne

Odjemalec in strežniški profil prihajata od dveh različnih izdajateljev, njuno zamenjevanje pa je ločena napaka od namestitve napačne binarne datoteke. Različica OpenVPN, ki jo vzdržuje en projekt, bo z veseljem naložila konfiguracijo, ki jo je napisal nepovezan upravljavec, in to je običajno vedenje, ne dokaz ogroženosti. Velja tudi obratno: zakonit profil ne naredi neuradnega odjemalca zanesljivega. Preverite vsak objekt glede na njegov lastni vir in nikoli ne dovolite, da bi delujoča povezava združila dve preverjanji v eno.

Preden ukrepate, vprašajte, kateri od obeh objektov je v resnici vprašljiv, ker se rešitev razlikuje. Slab odjemalec pomeni ponovno namestitev, medtem ko slab profil pomeni izbris ene datoteke in njeno ponovno izdajo.

Ukrepajte ob negotovosti in nato temeljito počistite

Če identiteta ostane negotova, prenehajte posredovati poverilnice in si programsko opremo priskrbite neodvisno prek preverjenega kanala, ki ste si ga shranili med zaznamke. Sledite smernicam platforme za neželene aplikacije, namesto da izbrišete mapo in upate. Nato zapišite izdajatelja, različico in metodo preverjanja, ki ste jih sprejeli, da bo mogoče naslednjo posodobitev primerjati z dejstvom in ne s spominom.

Po zakoniti zamenjavi pojdite skozi stare profile in dodeljena dovoljenja v odjemalcu in operacijskem sistemu. Odstranitev prenesene datoteke pusti nameščeno aplikacijo na mestu, stari profil pa lahko preživi odjemalca, ki ga je ustvaril, medtem ko še vedno kaže na končno točko, ki je nihče ne vzdržuje. Uradna stran za namestitev WireGuarda je dober primer vrste reference, ki jo je vredno obdržati: to je razvijalčev lastni seznam in ne zrcalo.