Instaluesi i portalit VPN: paketë, profil apo rindërtim?

Butoni i shkarkimit i një portali VPN kthen saktësisht një skedar, dhe ai skedar mund të jetë dy gjëra shumë të ndryshme: një instalues i gatshëm i furnizuesit me një profil konfigurimi që udhëton pranë tij, ose një ndërtim që organizata e ka përpiluar vetë. Faqja duket njësoj në të dyja rastet, kështu që butoni nuk mund t'ju thotë cilin keni. Pas tij qëndrojnë tre pyetje — kush e publikoi ekzekutuesin, çfarë konfigurimi shkruan instalimi dhe kush e riparon kur vjen versioni i radhës i klientit. Të parën e përgjigjeni nga metadata e artefaktit, të dytën nga përmbajtja e paketës, dhe të tretën vetëm nga ekipi që zotëron vendosjen.

Dryni i shfletuesit mbulon transferimin, jo artefaktin.

Çfarë kthen në të vërtetë pika e shkarkimit

Shumica e portaleve ia dorëzojnë kërkesën për shkarkim një trajtuesi të vogël që ose transmeton një skedar të ruajtur ose monton një në vend, dhe më pas vendos një emër skedari dhe një lloj përmbajtjeje përpara se përgjigja të niset. Ajo që arrin është një kontejner: MSI, PKG, DEB ose RPM, ose një mbështjellës vetë-nxjerrës rreth njërit prej tyre. Brenda ndodhet binari i klientit, dhe asgjë në emrin e skedarit nuk thotë me besueshmëri nëse ai binar erdhi nga furnizuesi apo nga një linjë e brendshme ndërtimi. Një skedar i quajtur client-setup.exe regjistron një vendim emërtimi, jo një fakt origjine.

Krahasoni bajtët e shkarkuar me shumën kontrolluese të publikuar nga furnizuesi. Mospërputhja nuk provon keqdashje; provon se skedari nuk është ndërtimi i furnizuesit, dhe ky është dallimi për të cilin ia vlen të veprohet.

Ku hyn profili në klient

Cilësimet e paraplotësuara zakonisht udhëtojnë si një skedar i veçantë që instaluesi e kopjon në një shteg për çdo përdorues ose çdo makinë: një profil JSON ose XML në Windows, një profil konfigurimi në macOS, një fragment nën /etc në Linux. Vlerat në atë skedar — emrat e hosteve të portës, ankorat e besimit, ndonjëherë material regjistrimi — bëhen vlerat e paracaktuara të klientit në nisjen e parë. Kjo është arsyeja pse një shkarkim mund të mbajë sekrete ashtu si edhe kod.

Pyetni çfarë bën rruga e përditësimit me profilin. Në varësi të paketimit, ai mund t'i mbijetojë një përditësimi të klientit, mund të mbishkruhet prej tij, ose mund të dështojë në validimin e skemës në versionin e ri.

Çfarë nuk provon zinxhiri i nënshkrimeve

Nënshkrimi i kodit lidh identitetin e botuesit me një hash skedari, dhe në Windows vula kohore Authenticode lejon një nënshkrim të jetojë më gjatë se certifikata që e krijoi. Një rezultat i vlefshëm përgjigjet dy pyetjeve: cili botues i nënshkroi këto bajtë dhe a ndryshuan më pas. Ai nuk rendit shërbimet e instaluesit, shkrimet në regjistër ose drejtuesit e përfshirë, dhe nuk vendos nëse duhet t'i besohet atij botuesi këtu. Dokumentacioni Authenticode i Microsoft përshkruan mekanizmin dhe është i qartë për atë fushë të ngushtë.

Vërtetimi i portalit përgjigjet një pyetjeje të tretë: se sesioni arriti serverin e synuar. Tre kontrolle të ndryshme, tre mënyra të ndryshme dështimi.

Verifikoni artefaktin përpara se dikush ta ekzekutojë

Vendoseni skedarin në një makinë të izoluar dhe lexoni metadatën e tij përpara se të ekzekutoni çdo gjë. Këto komanda përgjigjen pyetjes së botuesit në tre platformat kryesore.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Lexoni subjektin e nënshkruesit, jo vetëm fjalën e statusit. Një autoritet i brendshëm certifikatash që nënshkruan një ndërtim të brendshëm është i pritshëm; e njëjta certifikatë në një paketë që pretendon se është publikimi i furnizuesit nuk është.

Për një paketë vetëm me profil, hapni arkivin dhe trajtoni çdo emër hosti dhe çelës të integruar si të dhëna për të cilat duhet dhënë llogari. Nëse profili përmban diçka të ripërdorshme, shpërndarja përmes portalit e kthen atë në një sekret të përbashkët me një plan vendosjeje.

Përcaktimi i pronësisë përpara vendosjes

Pas pyetjes së fundit nuk qëndron asnjë komandë. Zbuloni kush e përditëson artefaktin kur furnizuesi dërgon një klient të ri, kush e mban çelësin e nënshkrimit për një ndërtim të brendshëm dhe si rrotullohet profili kur një pikë fundore zhvendoset. Shkruani ato emra pranë lidhjes së shkarkimit.

Nëse askush nuk e zotëron atë përgjigje, shkarkimi është një kanal shpërndarjeje pa kontratë mirëmbajtjeje, dhe ky është gjetja që ia vlen të raportohet.