Namestitveni program portala VPN: paket, profil ali ponovna gradnja?

Gumb za prenos na portalu VPN vrne natanko eno datoteko, in ta datoteka je lahko ena od dveh zelo različnih stvari: pripravljen namestitveni program ponudnika s konfiguracijskim profilom, ki potuje ob njem, ali gradnja, ki jo je organizacija sestavila sama. Stran je v obeh primerih videti enako, zato vam gumb ne more povedati, katero imate. Za njim stojijo tri vprašanja — kdo je objavil izvršljivo datoteko, kakšno konfiguracijo zapiše namestitev in kdo jo popravi, ko pride naslednja izdaja odjemalca. Na prvo odgovorite iz metapodatkov artefakta, na drugo iz vsebine paketa, na tretje pa samo iz ekipe, ki ima v lasti uvedbo.

Ključavnica v brskalniku pokriva prenos, ne artefakt.

Kaj končna točka za prenos v resnici vrne

Večina portalov preda zahtevo za prenos majhnemu upravljalniku, ki bodisi pretaka shranjeno datoteko bodisi jo sestavi na mestu, nato pa pred odhodom odgovora nastavi ime datoteke in vrsto vsebine. Kar pride, je vsebnik: MSI, PKG, DEB ali RPM ali samorazširitveni ovoj okoli enega od njih. V njem je binarna datoteka odjemalca in nič v imenu datoteke zanesljivo ne pove, ali je ta binarna datoteka prišla od ponudnika ali iz notranjega gradbenega cevovoda. Datoteka z imenom client-setup.exe zabeleži odločitev o poimenovanju, ne dejstva o izvoru.

Primerjajte prenesene bajte s kontrolno vsoto, ki jo je objavil ponudnik. Neujemanje ne dokazuje zlobnosti; dokazuje, da datoteka ni ponudnikova gradnja, in to je razlika, zaradi katere je vredno ukrepati.

Kje profil vstopi v odjemalca

Vnaprej izpolnjene nastavitve običajno potujejo kot ločena datoteka, ki jo namestitveni program kopira v pot za posameznega uporabnika ali za celoten računalnik: profil JSON ali XML v Windows, konfiguracijski profil v macOS, fragment pod /etc v Linuxu. Vrednosti v tej datoteki — imena gostiteljev prehoda, sidra zaupanja, včasih gradivo za vpis — ob prvem zagonu postanejo privzete vrednosti odjemalca. Zato lahko en prenos nosi tako skrivnosti kot kodo.

Vprašajte, kaj naredi pot nadgradnje s profilom. Glede na pakiranje lahko preživi posodobitev odjemalca, je z njo prepisan ali ne prestane preverjanja sheme v novi različici.

Česa veriga podpisov ne dokazuje

Podpisovanje kode veže identiteto izdajatelja na hash datoteke, v Windows pa časovni žig Authenticode podpisu omogoča, da živi dlje od potrdila, ki ga je ustvarilo. Veljaven rezultat odgovori na dve vprašanji: kateri izdajatelj je podpisal te bajte in ali so se pozneje spremenili. Ne našteva storitev namestitvenega programa, zapisov v register ali priloženih gonilnikov in ne odloča, ali naj se temu izdajatelju tu zaupa. Dokumentacija Authenticode podjetja Microsoft opisuje mehanizem in je izrecna glede tega ozkega obsega.

Preverjanje pristnosti portala odgovori na tretje vprašanje: ali je seja dosegla predvideni strežnik. Tri različna preverjanja, tri različni načini odpovedi.

Preverite artefakt, preden ga kdo zažene

Postavite datoteko na izoliran računalnik in preberite njene metapodatke, preden kar koli izvedete. Ti ukazi odgovorijo na vprašanje izdajatelja na treh glavnih platformah.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Preberite predmet podpisnika, ne samo besedo stanja. Notranji certifikatni organ, ki podpiše notranjo gradnjo, je pričakovan; isto potrdilo na paketu, ki trdi, da je izdaja ponudnika, ni.

Pri paketu samo s profilom odprite arhiv in vsako vdelano ime gostitelja ter ključ obravnavajte kot podatke, s katerimi je treba obračunati. Če profil vsebuje kaj večkrat uporabljivega, distribucija prek portala to spremeni v skupno skrivnost z načrtom uvedbe.

Ugotavljanje lastništva pred uvedbo

Za zadnjim vprašanjem ne stoji noben ukaz. Ugotovite, kdo posodablja artefakt, ko ponudnik pošlje novega odjemalca, kdo ima podpisni ključ za notranjo gradnjo in kako se profil zavrti, ko se končna točka premakne. Ta imena zapišite ob povezavo za prenos.

Če tega odgovora nihče ne poseduje, je prenos distribucijski kanal brez pogodbe o vzdrževanju, in to je ugotovitev, ki jo je vredno sporočiti.