Инсталатер VPN портала: пакет, профил или поновна изградња?

Дугме за преузимање на VPN порталу враћа тачно једну датотеку, а та датотека може бити две веома различите ствари: готов инсталатер добављача са конфигурационим профилом који путује поред њега, или изградња коју је организација сама саставила. Страница изгледа исто у оба случаја, па дугме не може да вам каже коју имате. Иза њега стоје три питања — ко је објавио извршну датотеку, какву конфигурацију инсталација уписује и ко је поправља када стигне следеће издање клијента. На прво одговарате из метаподатака артефакта, на друго из садржаја пакета, а на треће само из тима који поседује увођење.

Катанац у прегледачу покрива пренос, а не артефакт.

Шта заиста враћа крајња тачка за преузимање

Већина портала предаје захтев за преузимање малом обрађивачу који или преноси сачувану датотеку или саставља датотеку на лицу места, а затим поставља име датотеке и тип садржаја пре него што одговор оде. Оно што стигне је контејнер: MSI, PKG, DEB или RPM, или самораспакујући омот око једног од њих. Унутра стоји бинарна датотека клијента, и ништа у имену датотеке поуздано не каже да ли је та бинарна датотека дошла од добављача или из интерне линије за изградњу. Датотека названа client-setup.exe бележи одлуку о именовању, а не чињеницу о пореклу.

Упоредите преузете бајтове са контролном сумом коју је добављач објавио. Неслагање не доказује злу намеру; доказује да датотека није добављачева изградња, и управо то је разлика због које вреди поступити.

Где профил улази у клијента

Унапред попуњена подешавања обично путују као засебна датотека коју инсталатер копира у путању за појединачног корисника или за цело рачунаро: JSON или XML профил у Windows-у, конфигурациони профил у macOS-у, фрагмент под /etc у Linux-у. Вредности у тој датотеци — имена хостова пролаза, сидра поверења, понекад материјал за упис — постају подразумеване вредности клијента при првом покретању. Зато једно преузимање може да носи и тајне и код.

Питајте шта путања надоградње ради са профилом. У зависности од паковања, може да преживи ажурирање клијента, буде преписан од њега или не прође проверу шеме у новој верзији.

Шта ланац потписа не доказује

Потписивање кода везује идентитет издавача за хеш датотеке, а у Windows-у временски печат Authenticode-а омогућава потпису да живи дуже од сертификата који га је створио. Важећи резултат одговара на два питања: који издавач је потписао ове бајтове и да ли су се после променили. Он не набраја услуге инсталатера, уписе у регистар или пратеће драјвере и не одлучује да ли том издавачу треба веровати овде. Документација Authenticode-а компаније Microsoft описује механизам и јасна је о том уском обиму.

Аутентификација портала одговара на треће питање: да ли је сесија стигла до предвиђеног сервера. Три различите провере, три различита режима отказа.

Проверите артефакт пре него што га било ко покрене

Ставите датотеку на изоловано рачунаро и прочитајте њене метаподатке пре него што било шта извршите. Ове команде одговарају на питање о издавачу на три главне платформе.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Читајте субјекат потписника, а не само реч статуса. Интерно тело за сертификате које потписује интерну изградњу је очекивано; исти сертификат на пакету који тврди да је издање добављача није.

За пакет само са профилом отворите архиву и третирајте свако уграђено име хоста и кључ као податке за које мора да се положи рачун. Ако профил садржи нешто вишекратно употребљиво, дистрибуција преко портала то претвара у заједничку тајну са планом увођења.

Утврђивање власништва пре увођења

Иза последњег питања не стоји ниједна команда. Сазнајте ко ажурира артефакт када добављач пошаље новог клијента, ко држи кључ за потпис интерне изградње и како се профил ротира када се крајња тачка помери. Запишите та имена поред везе за преузимање.

Ако нико не поседује тај одговор, преузимање је канал дистрибуције без уговора о одржавању, и то је налаз који вреди пријавити.