Да ли је та VPN апликација званична верзија или копија?

Софтвер-копија копира имена, иконе и снимке екрана и повезује се довољно добро да изгледа уверљиво. То што тунел ради није доказ ни за шта, јер питање је ко је написао бинарну датотеку. Третирајте ово као проверу идентитета, а не као безбедносну ревизију, и узмите сваку референтну вредност из канала који сте сами изабрали, а не са странице саме апликације. Следи пет провера и свака може да не успе док остале пролазе. Изведите их по реду, јер каснија провера не може да спасе претходну.

Узмите референтне вредности из канала који сте сами изабрали

Отворите званична упутства за преузимање пројекта или управљани софтверски канал ваше организације пре него што погледате шта је инсталирано. Запишите очекиваног издавача у продавници, идентитет пакета или инсталатера и подржане платформе, а затим чувајте ту белешку тамо где ћете је наћи при следећем ажурирању. Резултат претраге или плаћени пласман није тај канал, а плаћени пласман стоји изнад органског резултата управо зато што људи кликну на прво подударање. Означите страницу када је проверите, да би следеће преузимање почело одлуком, а не поновљеном претрагом.

Огледало или складиште пакета треће стране је такође канал и поуздано је онолико колико је поуздан његов оператер. Запишите које сте користили, јер тај детаљ људи забораве између ажурирања.

Упоредите инсталираног издавача, а не име

Ослоните се на сопствене евиденције платформе о потписима и апликацијама где постоје, па прочитајте верзију, путању ажурирања и дозволе које је апликација затражила. Приметити важећи потпис није исто што и приметити издавача којег сте очекивали, јер сертификат потврђује само да је бинарну датотеку потписао онај ко је поседује. Потпис компаније за коју никада нисте чули и даље је важећи потпис, зато провера мора да именује страну коју сте мислили. Инсталатер који носи додатни софтвер, тражи сертификат или отвара прозор за налог који нисте очекивали, тражи објашњење из сопствене документације производа.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Извршите проверу која одговара платформи и упоредите њен излаз са референтном белешком из првог корака. Неслагање у пољу издавача је информативније од било какве визуелне сличности, јер икона ништа не кошта за копирање. Ако излаз именује организацију која се нигде не појављује у документацији пројекта, зауставите се и не пријављујте се.

Шта инсталирани потпис заправо доказује

Када пројекат објављује контролне суме, потписе или кључеве издања, прођите кроз цео документовани поступак, укључујући део о прибављању референтног кључа. Контролна сума одштампана на истој страници као преузимање доказује само да датотека одговара тој страници, што је слабија тврдња него што изгледа. Корисно питање је да ли се потпис ланчано везује на идентитет који пројекат документује, путем којег копија не управља. То је корак који људи скраћују на питање да ли датотека уопште има потпис.

Кључ преузет са сервера кључева и отисак одштампан у README нису еквивалентни докази. Одлучите који сте заиста користили пре него што датотеку назовете провереном.

Када је апликација права, а профил није

Клијент и серверски профил долазе од два различита издавача, а њихово мешање је одвојен неуспех од инсталирања погрешне бинарне датотеке. Издање OpenVPN-а које одржава један пројекат радо ће учитати конфигурацију коју је написао неповезани оператер, и то је нормално понашање, а не доказ компромитације. Важи и обрнуто: легитиман профил не чини незваничног клијента поузданим. Проверите сваки објекат према његовом сопственом извору и никада не дозволите да радна веза споји две провере у једну.

Питајте који је од два објекта заиста под сумњом пре него што поступите, јер се решење разликује. Лош клијент значи поновну инсталацију, док лош профил значи брисање једне датотеке и њено поновно издавање.

Поступите при несигурности, па правилно очистите

Ако идентитет остане несигуран, престаните да дајете акредитиве и набавите софтвер независно преко провереног канала који сте означили. Пратите смернице платформе за нежељене апликације уместо да обришете фасциклу и надате се. Затим запишите издавача, верзију и метод провере које сте прихватили, да би следеће ажурирање могло да се упореди са чињеницом, а не са памћењем.

Након легитимне замене, прођите старе профиле и додељене дозволе и у клијенту и у оперативном систему. Деинсталирање преузете датотеке оставља инсталирану апликацију на месту, а стари профил може да надживи клијента који га је створио док још показује на крајњу тачку коју нико не одржава. Званична страница за инсталацију WireGuard-а је добар пример врсте референце коју вреди чувати: то је сопствена листа програмера, а не огледало.