Instalues VPN nga një pasqyrë? Verifikoni së pari botuesin

Tuneli funksionoi, ndërfaqja u shfaq dhe sesioni mbeti i qëndrueshëm për një javë. Asnjëra prej këtyre nuk ju thotë kush e ndërtoi instaluesin. Një klient VPN ekzekutohet me privilegje të mjaftueshme për të rishkruar rrugët dhe për të lexuar kredencialet, prandaj botuesi është pjesë e modelit të kërcënimit, jo një shënim poshtë.

Kryeni kontrollet me radhë dhe ndaloni në të parën që dështon. Ato janë të lira dhe secila mbyll një boshllëk tjetër.

Hapi i parë: Shkarkoni nga kanali që emërton projekti

Çdo projekt dokumenton ku ndodhen publikimet e tij, dhe ajo faqe është referenca. Ndërtimet e komunitetit, listimet e dyqaneve dhe portalet e furnitorëve janë të gjitha kanale legjitime. Secili është legjitim vetëm kur vetë projekti tregon drejt tij. Ky është testi, dhe nuk është e njëjta gjë me të dukuri zyrtar.

Një skedar i quajtur sipas projektit nuk provon asgjë. Riemërtimi i një instaluesi është operacion prej një sekonde, dhe emri është ajo që një rezultat kërkimi shfaq i pari.

Hapi i dytë: Verifikoni nënshkrimin kundrejt një identiteti të njohur

Verifikimi i nënshkrimit i përgjigjet mirë një pyetjeje të ngushtë. Ju thotë se një identitet i caktuar e ka nënshkruar këtë binar dhe se binari nuk ka ndryshuar që atëherë. I përgjigjet një pyetjeje dhe refuzon një tjetër. Nuk mund t'ju thotë nëse ai identitet është ai që kishit ndërmend të besoni.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Lexoni identitetin, jo fjalën e statusit. Një zhvillues i palidhur me një certifikatë të vlefshme prodhon një nënshkrim të vlefshëm. Një sistem operativ që raporton një botues të njohur ju ka thënë vetëm se dikush pagoi për një certifikatë.

Hapi i tretë: Krahasoni hash-in me një burim të pavarur

Një shumë kontrolluese provon përputhjen me një vlerë referencë. Nëse referenca mbërriti pranë shkarkimit, të dyja mund të jenë të gabuara së bashku dhe krahasimi gjithsesi kalon. Ky është modeli i dështimit në shumicën e udhëzuesve. Hash-i ndodhet në të njëjtën faqe me skedarin që përshkruan.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Kur një projekt publikon shuma kontrolluese të nënshkruara ose një manifest publikimi të nënshkruar, verifikoni nënshkrimin mbi listën dhe jo mbi çdo skedar veç e veç. Kështu një referencë e besuar mbulon të gjithë publikimin.

Pas instalimit: Mbani rrugën e përditësimit

Një kanal i mbështetur vazhdon të ketë rëndësi pas përfundimit të instalimit. Ndërtimet e ripaketuara mund të sjellin përditësuesin e tyre, dhe ai përditësues vendos çfarë do të ekzekutohet muajin tjetër. Një ndërtim që nuk përditësohet kurrë nuk është më i sigurt. Është thjesht më i vjetër.

Shënoni si duhet të përditësohet klienti dhe nëse një sistem menaxhimi zotëron atë hap. Nëse përgjigjja është një shkarkim manual nga një forum, pyetja e zinxhirit të furnizimit nuk u mbyll kurrë vërtet.

Dy origjina, jo një

Zhvilluesi i klientit dhe botuesi i profilit janë palë të veçanta. Një klient zyrtar që importon një profil nga një operator i palidhur është një rregullim normal, dhe profili meriton shqyrtimin e vet: kush e lëshoi, si u dorëzua dhe nëse certifikata e serverit përputhet me emrin që prisni.

Mbani të dyja origjinat të identifikueshme në shënimet tuaja. Në momentin që një klient zëvendësohet ose një pajisje rikthehet nga një kopje rezervë, pikërisht ato dy rreshta janë ato që pengojnë një ndërtim të panjohur ose një profil të panjohur të kthehen me pjesën tjetër të të dhënave.