Är VPN-appen den officiella versionen eller en kopia?

Kopieringsprogram kopierar namn, ikoner och skärmbilder, och den ansluter tillräckligt bra för att verka övertygande. Att tunneln fungerar är inte bevis för något, för frågan är vem som skrev binärfilen. Behandla detta som en identitetskontroll och inte som en säkerhetsgranskning, och hämta varje referensvärde från en kanal du själv valt, inte från appens egen sida. Fem kontroller följer, och var och en kan misslyckas medan de andra går igenom. Gör dem i ordning, för en senare kontroll kan inte rädda en tidigare.

Hämta dina referensvärden från en kanal du själv valt

Öppna projektets officiella nedladdningsinstruktioner, eller organisationens hanterade programvarukanal, innan du tittar på vad som är installerat. Anteckna den förväntade utgivaren i butiken, identiteten för paketet eller installationsprogrammet och de plattformar som stöds, och förvara sedan anteckningen där du hittar den vid nästa uppdatering. Ett sökresultat eller en sponsrad placering är inte den kanalen, och den betalda placeringen ligger över det organiska resultatet just för att folk klickar på första träffen. Bokmärk sidan när du har verifierat den, så att nästa nedladdning börjar med ett beslut och inte med en upprepad sökning.

En spegel eller ett tredjepartspaketarkiv är också en kanal, och den är bara så pålitlig som sin operatör. Skriv ned vilken du använde, för det är just den detaljen folk glömmer mellan uppdateringarna.

Jämför den installerade utgivaren, inte namnet

Luta dig mot plattformens egna signatur- och programregister där de finns, och läs sedan versionen, uppdateringsvägen och de behörigheter appen begärde. Att upptäcka en giltig signatur är inte samma sak som att upptäcka den utgivare du förväntade dig, eftersom ett certifikat bara intygar att en binärfil signerades av den som har det. En signatur från ett företag du aldrig hört talas om är fortfarande en giltig signatur, och därför måste testet namnge den part du menade. Ett installationsprogram som tar med extra programvara, begär ett certifikat eller öppnar en kontoprompt du inte förväntade dig, behöver en förklaring från produktens egen dokumentation.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Kör kontrollen som passar plattformen och jämför dess utdata med referensanteckningen du gjorde i första steget. En avvikelse i utgivarfältet är mer informativ än någon grad av visuell likhet, eftersom en ikon inte kostar något att kopiera. Om utdata namnger en organisation som inte finns någonstans i projektets dokumentation, stanna där och logga inte in.

Vad den installerade signaturen faktiskt bevisar

När ett projekt publicerar kontrollsummor, signaturer eller utgivningsnycklar, gå igenom hela den dokumenterade proceduren, inklusive delen om att skaffa referensnyckeln. En kontrollsumma tryckt på samma sida som nedladdningen bevisar bara att filen matchar den sidan, vilket är ett svagare påstående än det ser ut. Den användbara frågan är om signaturen kedjar till den identitet projektet dokumenterar, via en väg som kopian inte kontrollerar. Det är steget folk förkortar till om filen överhuvudtaget har en signatur.

En nyckel hämtad från en nyckelserver och ett fingeravtryck tryckt i en README är inte likvärdiga bevis. Bestäm vilken du faktiskt använde innan du kallar filen verifierad.

När appen är äkta men profilen inte är det

En klient och en serverprofil kommer från två olika utfärdare, och att förväxla dem är ett annat fel än att installera fel binärfil. En OpenVPN-utgåva som underhålls av ett projekt laddar gärna en konfiguration skriven av en oberoende operatör, och det är normalt beteende och inte bevis på kompromettering. Det omvända gäller också: en legitim profil gör inte en inofficiell klient pålitlig. Verifiera varje objekt mot sin egen källa, och låt aldrig en fungerande anslutning smälta två kontroller till en.

Fråga vilket av de två objekten som faktiskt är ifrågasatt innan du agerar, eftersom botemedlet skiljer sig. En dålig klient innebär ominstallation, medan en dålig profil innebär att radera en fil och utfärda den på nytt.

Agera vid osäkerhet och städa sedan ordentligt

Om identiteten förblir osäker, sluta lämna ut inloggningsuppgifter och skaffa programvaran oberoende via den verifierade kanal du bokmärkt. Följ plattformens vägledning för oönskade program i stället för att radera en mapp och hoppas. Anteckna sedan utgivaren, versionen och verifieringsmetoden du accepterade, så att nästa uppdatering kan jämföras med ett faktum och inte med minnet.

Efter ett legitimt utbyte, gå igenom de gamla profilerna och behörigheterna både i klienten och i operativsystemet. Att avinstallera den nedladdade filen lämnar det installerade programmet på plats, och en gammal profil kan överleva klienten som skapade den medan den fortfarande pekar på en slutpunkt som ingen underhåller. WireGuards officiella installationssida är ett bra exempel på den typ av referens som är värd att behålla: det är utvecklarens egen lista och inte en spegel.