Kisakinishi cha lango la VPN: kifurushi, profaili au ujenzi upya?

Kitufe cha upakuaji cha lango la VPN hurudisha faili moja haswa, na faili hiyo inaweza kuwa mambo mawili tofauti kabisa: kisakinishi tayari cha msambazaji kilicho na profaili ya usanidi inayosafiri kando yake, au ujenzi ambao shirika liliukusanya lenyewe. Ukurasa unaonekana sawa katika hali zote mbili, kwa hivyo kitufe hakiwezi kukuambia una kipi. Nyuma yake kuna maswali matatu — nani alichapisha faili tekelezwa, usanidi gani usakinishaji unaandika, na nani anairekebisha wakati toleo la mteja linalofuata linapokuja. Swali la kwanza unalijibu kutoka metadata ya kitu, la pili kutoka yaliyomo kwenye kifurushi, na la tatu kutoka timu inayomiliki uwekaji pekee.

Kufuli la kivinjari hufunika uhamishaji, si kitu chenyewe.

Nini mwisho wa upakuaji hurejesha kwa kweli

Lango nyingi hukabidhi ombi la upakuaji kwa kidhibiti kidogo ambacho ama hutiririsha faili iliyohifadhiwa au hukusanya faili papo hapo, kisha huweka jina la faili na aina ya maudhui kabla jibu halijaondoka. Kinachofika ni chombo: MSI, PKG, DEB au RPM, au kifuniko kinachojitoa chenyewe kuzunguka kimojawapo. Ndani kuna faili binary ya mteja, na hakuna kitu katika jina la faili kinachoweza kusema kwa uhakika kama binary hiyo ilitoka kwa msambazaji au kutoka kwa njia ya ujenzi ya ndani. Faili inayoitwa client-setup.exe hurekodi uamuzi wa majina, si ukweli wa asili.

Linganisha baiti zilizopakuliwa na checksum iliyochapishwa na msambazaji. Kutolingana hakuthibitishi uovu; inathibitisha faili si ujenzi wa msambazaji, na hiyo ndiyo tofauti inayofaa kuchukua hatua.

Profaili inaingia wapi kwenye mteja

Mipangilio iliyojazwa mapema kwa kawaida husafiri kama faili tofauti ambayo kisakinishi huiga kwenye njia ya kila mtumiaji au kila mashine: profaili ya JSON au XML kwenye Windows, profaili ya usanidi kwenye macOS, kipande chini ya /etc kwenye Linux. Thamani katika faili hiyo — majina ya mwenyeji wa lango, nanga za uaminifu, wakati mwingine nyenzo za usajili — huwa chaguo-msingi za mteja wakati wa kuanza kwa mara ya kwanza. Ndiyo sababu upakuaji mmoja unaweza kubeba siri pamoja na msimbo.

Uliza njia ya uboreshaji inafanya nini na profaili. Kulingana na ufungashaji, inaweza kudumu kupitia sasisho la mteja, kufutwa nalo, au kushindwa uthibitishaji wa mpangilio katika toleo jipya.

Silsila ya sahihi haithibitishi nini

Usajili wa msimbo hufunga utambulisho wa mchapishaji na hash ya faili, na kwenye Windows muhuri wa muda wa Authenticode huruhusu sahihi kuishi zaidi ya cheti kilichoiunda. Matokeo halali hujibu maswali mawili: ni mchapishaji gani alisaini baiti hizi, na kama zilibadilika baadaye. Haukoorodheshi huduma za kisakinishi, maandishi ya rejista au viendeshi vilivyojumuishwa, na haukuamua kama mchapishaji huyo anapaswa kuaminiwa hapa. Nyaraka za Authenticode za Microsoft hueleza utaratibu na ni wazi kuhusu wigo huo mwembamba.

Uthibitishaji wa lango hujibu swali la tatu: kwamba kikao kilifika kwenye seva iliyokusudiwa. Ukaguzi tatu tofauti, mbinu tatu tofauti za kushindwa.

Thibitisha kitu kabla mtu yeyote hajaendesha

Weka faili kwenye mashine iliyotengwa na usome metadata yake kabla ya kutekeleza chochote. Amri hizi hujibu swali la mchapishaji kwenye majukwaa matatu makuu.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Soma somo la msaini badala ya neno la hali pekee. Mamlaka ya ndani ya vyeti inayosaini ujenzi wa ndani inatarajiwa; cheti hicho hicho kwenye kifurushi kinachodai kuwa toleo la msambazaji hakitatarajiwa.

Kwa kifurushi cha profaili pekee, fungua kumbukumbu na uchukulie kila jina la mwenyeji na ufunguo uliopachikwa kama data inayopaswa kuhesabiwa. Ikiwa profaili ina kitu kinachoweza kutumika tena, usambazaji wa lango huugeuza kuwa siri iliyoshirikiwa na ratiba ya uwekaji.

Kubaini umiliki kabla ya uwekaji

Nyuma ya swali la mwisho hakuna amri. Gundua nani anasasisha kitu msambazaji anapotuma mteja mpya, nani anashikilia ufunguo wa kusaini kwa ujenzi wa ndani, na jinsi profaili inavyozungushwa mwisho unapohama. Andika majina hayo kando ya kiungo cha upakuaji.

Ikiwa hakuna mtu anayemiliki jibu hilo, upakuaji ni njia ya usambazaji isiyo na mkataba wa matengenezo, na hiyo ndiyo ugunduzi unaofaa kuripotiwa.