VPN инсталер са огледала? Прво проверите издавача

Тунел је радио, интерфејс се појавио и сесија је остала стабилна целу недељу. Ништа од тога не говори ко је направио инсталер. VPN клијент ради са довољно привилегија да преписује руте и чита акредитиве, зато је издавач део модела претњи, а не фуснота.

Извршите провере по реду и зауставите се на првој која не успе. Оне су јефтине и свака затвара другу празнину.

Први корак: Преузмите са канала који пројекат наводи

Сваки пројекат документује где се налазе његова издања и та страница је референца. Заједничке градње, листе у продавницама и портали добављача су сви легитимни канали. Сваки је легитиман само када сам пројекат на њега упућује. То је тест и није исто што и изгледати званично.

Датотека названа по пројекту ништа не доказује. Преименовање инсталера је операција од једне секунде, а име је оно што резултат претраге покаже прво.

Други корак: Проверите потпис према познатом идентитету

Провера потписа добро одговара на уско питање. Она вам каже да је одређени идентитет потписао овај бинарни фајл и да се фајл од тада није променио. Одговара на једно питање и одбија друго. Не може да вам каже да ли је тај идентитет онај коме сте намеравали да верујете.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Читајте идентитет, а не реч статуса. Неповезани програмер са важећим сертификатом производи важећи потпис. Оперативни систем који пријављује признатог издавача само вам је рекао да је неко платио сертификат.

Трећи корак: Упоредите хеш са независним извором

Контролна сума доказује подударање са референтном вредношћу. Ако је референца стигла поред преузимања, обе могу бити погрешне заједно, а поређење ипак пролази. То је начин неуспеха у већини упутстава. Хеш стоји на истој страници као датотека коју описује.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Када пројекат објављује потписане контролне суме или потписани манифест издања, проверите потпис над списком, а не над сваком датотеком одвојено. Тако једна поуздана референца покрива цело издање.

После инсталације: Задржите путању ажурирања

Подржани канал остаје важан и после завршетка инсталације. Препаковане градње могу носити сопствени ажурирач, а тај ажурирач одлучује шта ће радити следећег месеца. Градња која се никада не ажурира није безбеднија. Она је једноставно старија.

Запишите како би клијент требало да се ажурира и да ли управни систем поседује тај корак. Ако је одговор ручно преузимање са форума, питање ланца снабдевања никада није стварно затворено.

Два порекла, не једно

Програмер клијента и издавач профила су одвојене стране. Званични клијент који увози профил од неповезаног оператера је нормалан распоред, а профил заслужује сопствену проверу: ко га је издао, како је достављен и да ли се сертификат сервера поклапа са именом које очекујете.

Држите оба порекла препознатљивим у својим белешкама. У тренутку када се клијент замени или уређај врати из резервне копије, управо та два реда спречавају непознату градњу или непознат профил да се врате са осталим подацима.