A është ajo aplikacion VPN ndërtimi zyrtar apo një imitim?

Softueri imitues kopjon emra, ikona dhe pamje ekrani, dhe lidhet mjaft mirë sa për t'u dukur bindës. Fakti që tuneli funksionon nuk është provë për asgjë, sepse pyetja është kush e shkroi skedarin binar. Trajtojeni këtë si një kontroll identiteti dhe jo si një auditim sigurie, dhe merrni çdo vlerë referimi nga një kanal që e keni zgjedhur vetë, jo nga faqja e vetë aplikacionit. Vijojnë pesë kontrolle, dhe secili mund të dështojë ndërsa të tjerët kalojnë. Kryejini sipas radhës, sepse një kontroll i mëvonshëm nuk mund të shpëtojë një të mëparshëm.

Merrni vlerat tuaja të referimit nga një kanal që e keni zgjedhur vetë

Hapni udhëzimet zyrtare të shkarkimit të projektit, ose kanalin e menaxhuar të softuerit të organizatës tuaj, përpara se të shikoni çfarë është instaluar. Shënoni botuesin e pritur të dyqanit, identitetin e paketës ose të instaluesit dhe platformat e mbështetura, pastaj mbajeni atë shënim atje ku do ta gjeni në përditësimin tjetër. Një rezultat kërkimi ose një vendosje e sponsorizuar nuk është ai kanal, dhe vendosja e paguar qëndron mbi rezultatin organik pikërisht sepse njerëzit klikojnë përputhjen e parë. Ruajeni faqen në faqeshënues pasi ta verifikoni, që shkarkimi tjetër të fillojë me një vendim dhe jo me një kërkim të përsëritur.

Një pasqyrë ose një depo paketash e palës së tretë është gjithashtu një kanal, dhe është vetëm aq i besueshëm sa operatori i tij. Shënoni cilën përdorët, sepse pikërisht atë detaj njerëzit harrojnë midis përditësimeve.

Krahasoni botuesin e instaluar, jo emrin

Mbështetuni në regjistrat e vetë platformës për nënshkrime dhe aplikacione kur ekzistojnë, pastaj lexoni versionin, rrugën e përditësimit dhe lejet që kërkoi aplikacioni. Të vërejsh një nënshkrim të vlefshëm nuk është njësoj si të vërejsh botuesin që prisje, sepse një certifikatë vërteton vetëm se një skedar binar u nënshkrua nga ai që e zotëron. Një nënshkrim nga një kompani për të cilën nuk keni dëgjuar kurrë mbetet një nënshkrim i vlefshëm, prandaj testi duhet të emërojë palën që kishit në mendje. Një instalues që sjell softuer shtesë, kërkon një certifikatë ose hap një dritare llogarie që nuk e prisje, ka nevojë për një shpjegim nga dokumentacioni i vetë produktit.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Ekzekutoni kontrollin që i përshtatet platformës dhe krahasoni daljen e tij me shënimin e referimit të bërë në hapin e parë. Një mospërputhje në fushën e botuesit është më informuese se çdo ngjashmëri vizuale, sepse një ikonë nuk kushton asgjë për t'u kopjuar. Nëse dalja emëron një organizatë që nuk shfaqet askund në dokumentacionin e projektit, ndaloni atje dhe mos u identifikoni.

Çfarë vërteton në të vërtetë nënshkrimi i instaluar

Kur një projekt publikon shuma kontrolli, nënshkrime ose çelësa publikimi, ndiqni të gjithë procedurën e dokumentuar, duke përfshirë pjesën për marrjen e çelësit të referimit. Një shumë kontrolli e shtypur në të njëjtën faqe me shkarkimin vërteton vetëm se skedari përputhet me atë faqe, që është një pohim më i dobët nga sa duket. Pyetja e dobishme është nëse nënshkrimi zinxhirohet deri te identiteti që dokumenton projekti, përmes një rruge që imitimi nuk e kontrollon. Ky është hapi që njerëzit e shkurtojnë në pyetjen nëse skedari ka fare nënshkrim.

Një çelës i marrë nga një server çelësash dhe një gjurmë gishti e shtypur në një README nuk janë prova ekuivalente. Vendosni cilin përdorët vërtet përpara se ta quani skedarin të verifikuar.

Kur aplikacioni është i vërtetë, por profili jo

Një klient dhe një profil serveri vijnë nga dy lëshues të ndryshëm, dhe ngatërrimi i tyre është një dështim i veçantë nga instalimi i skedarit binar të gabuar. Një ndërtim OpenVPN i mirëmbajtur nga një projekt do të ngarkojë me kënaqësi një konfigurim të shkruar nga një operator i palidhur, dhe ky është sjellje normale dhe jo provë kompromisi. Vlen edhe e kundërta: një profil legjitim nuk e bën të besueshëm një klient jozyrtar. Verifikoni çdo objekt ndaj burimit të vet dhe mos lejoni kurrë që një lidhje funksionale të shkrijë dy kontrolle në një.

Pyesni cili nga dy objektet është vërtet në dyshim përpara se të veproni, sepse ilaçi është i ndryshëm. Një klient i keq do të thotë riinstalim, ndërsa një profil i keq do të thotë fshirja e një skedari dhe rilëshimi i tij.

Veproni në pasiguri, pastaj pastroni si duhet

Nëse identiteti mbetet i pasigurt, ndaloni dhënien e kredencialeve dhe merrni softuerin në mënyrë të pavarur përmes kanalit të verifikuar që e ruajtët në faqeshënues. Ndiqni udhëzimet e platformës për aplikacione të padëshiruara në vend që të fshini një dosje dhe të shpresoni. Pastaj shënoni botuesin, versionin dhe metodën e verifikimit që pranuat, që përditësimi tjetër të mund të krahasohet me një fakt dhe jo me kujtesën.

Pas një zëvendësimi legjitim, kaloni nëpër profilet e vjetra dhe lejet e dhëna si në klient ashtu edhe në sistemin operativ. Çinstalimi i skedarit të shkarkuar e lë aplikacionin e instaluar në vend, dhe një profil i vjetër mund t'i mbijetojë klientit që e krijoi ndërsa vazhdon të tregojë drejt një pikë fundore që askush nuk e mirëmban. Faqja zyrtare e instalimit të WireGuard është një shembull i mirë i llojit të referencës që ia vlen të ruhet: është lista e vetë zhvilluesit dhe jo një pasqyrë.