VPN போர்ட்டல் நிறுவி: தொகுப்பு, சுயவிவரம் அல்லது மறுகட்டமைப்பு?

VPN போர்ட்டலின் பதிவிறக்க பொத்தான் சரியாக ஒரு கோப்பைத் திருப்பித் தருகிறது, அந்தக் கோப்பு மிகவும் வேறுபட்ட இரண்டு விஷயங்களாக இருக்கலாம்: உடன் பயணிக்கும் உள்ளமைவு சுயவிவரத்துடன் விற்பனையாளரின் தயார் நிறுவி, அல்லது அமைப்பே தொகுத்த கட்டமைப்பு. பக்கத்தின் தோற்றம் இரு சந்தர்ப்பங்களிலும் ஒன்றே, எனவே பொத்தான் உங்களிடம் எது இருக்கிறது என்று சொல்ல முடியாது. அதன் பின்னணியில் மூன்று கேள்விகள் உள்ளன — இயக்கக்கூடிய கோப்பை யார் வெளியிட்டார், நிறுவல் எந்த உள்ளமைவை எழுதுகிறது, அடுத்த வாடிக்கையாளர் வெளியீடு வரும்போது அதை யார் சரிசெய்கிறார். முதலாவதற்கு நீங்கள் கலைப்பொருளின் மெட்டாடேட்டாவில் இருந்தும், இரண்டாவதற்குத் தொகுப்பின் உள்ளடக்கத்தில் இருந்தும், மூன்றாவதற்கு வரிசைப்படுத்தலை உடைமையாகக் கொண்ட குழுவிடமிருந்து மட்டுமே பதிலளிக்கிறீர்கள்.

உலாவியின் பூட்டு பரிமாற்றத்தை மூடுகிறது, கலைப்பொருளை அல்ல.

பதிவிறக்க முனை உண்மையில் எதைத் திருப்பித் தருகிறது

பெரும்பாலான போர்ட்டல்கள் பதிவிறக்கக் கோரிக்கையை சிறிய கையாளுநரிடம் ஒப்படைக்கின்றன; அது சேமித்த கோப்பை ஸ்ட்ரீம் செய்கிறது அல்லது அப்போதே கோப்பைக் கூட்டிணைக்கிறது, பின்னர் பதில் வெளியேறும் முன் கோப்புப் பெயரையும் உள்ளடக்க வகையையும் அமைக்கிறது. வருவது ஒரு கொள்கலன்: MSI, PKG, DEB அல்லது RPM, அல்லது அவற்றில் ஒன்றைச் சுற்றியுள்ள தானாகப் பிரித்தெடுக்கும் உறை. உள்ளே வாடிக்கையாளரின் பைனரி உள்ளது, கோப்பின் பெயரில் எதுவும் அந்தப் பைனரி விற்பனையாளரிடமிருந்து வந்ததா அல்லது உள் கட்டுமான வழித்தடத்திலிருந்து வந்ததா என்று நம்பகமாகச் சொல்லவில்லை. client-setup.exe எனும் பெயருள்ள கோப்பு பெயரிடல் முடிவைப் பதிவு செய்கிறது, தோற்றத்தின் உண்மையை அல்ல.

பதிவிறக்கிய பைட்டுகளை விற்பனையாளர் வெளியிட்ட செக்சமுடன் ஒப்பிடுங்கள். பொருந்தாமை தீங்கை நிரூபிக்காது; கோப்பு விற்பனையாளரின் கட்டமைப்பு அல்ல என்பதை நிரூபிக்கிறது, அதுவே நடவடிக்கை எடுக்கத் தகுந்த வேறுபாடு.

சுயவிவரம் வாடிக்கையாளருக்குள் எங்கே நுழைகிறது

முன்பே நிரப்பட்ட அமைப்புகள் பொதுவாக தனிக் கோப்பாகப் பயணிக்கின்றன, அதை நிறுவி ஒவ்வொரு பயனருக்கும் ஒவ்வொரு இயந்திரத்திற்கும் உள்ள பாதையில் நகலெடுக்கிறது: Windows இல் JSON அல்லது XML சுயவிவரம், macOS இல் உள்ளமைவு சுயவிவரம், Linux இல் /etc கீழே ஒரு துண்டு. அந்தக் கோப்பின் மதிப்புகள் — நுழைவாயில் ஹோஸ்ட் பெயர்கள், நம்பிக்கை நங்கூரங்கள், சில நேரங்களில் பதிவுச் செய்தி — முதல் தொடக்கத்தில் வாடிக்கையாளரின் இயல்புநிலைகளாக மாறும். அதனால்தான் ஒரு பதிவிறக்கம் குறியீட்டுடன் இரகசியங்களையும் சுமக்க முடியும்.

மேம்பாட்டுப் பாதை சுயவிவரத்துடன் என்ன செய்கிறது என்று கேளுங்கள். தொகுப்பைப் பொறுத்து அது வாடிக்கையாளர் புதுப்பிப்பைத் தாண்டி நீடிக்கலாம், அதனால் மேலெழுதப்படலாம், அல்லது புதிய பதிப்பில் திட்ட அமைப்பு சரிபார்ப்பில் தோல்வியடையலாம்.

கையொப்பச் சங்கிலி எதை நிரூபிக்கவில்லை

குறியீட்டுக் கையொப்பம் வெளியீட்டாளரின் அடையாளத்தை ஒரு கோப்பு ஹாஷுடன் பிணைக்கிறது, Windows இல் Authenticode நேர முத்திரை கையொப்பம் அதை உருவாக்கிய சான்றிதழை விட நீண்ட காலம் வாழ அனுமதிக்கிறது. செல்லுபடியாகும் முடிவு இரண்டு கேள்விகளுக்குப் பதிலளிக்கிறது: இந்தப் பைட்டுகளில் எந்த வெளியீட்டாளர் கையொப்பமிட்டார், பின்னர் அவை மாறினவா. இது நிறுவியின் சேவைகள், பதிவேட்டு எழுத்துகள் அல்லது உடன் வரும் இயக்கிகளைப் பட்டியலிடவில்லை, அந்த வெளியீட்டாளரை இங்கே நம்ப வேண்டுமா என்றும் தீர்மானிக்கவில்லை. Microsoft இன் Authenticode ஆவணம் இயங்குமுறையை விவரிக்கிறது, அந்தக் குறுகிய எல்லை குறித்துத் தெளிவாக உள்ளது.

போர்ட்டல் அங்கீகாரம் மூன்றாவது கேள்விக்குப் பதிலளிக்கிறது: அமர்வு நோக்கிய சேவையகத்தை அடைந்ததா. மூன்று வேறுபட்ட சோதனைகள், மூன்று வேறுபட்ட தோல்வி முறைகள்.

யாரும் இயக்கும் முன் கலைப்பொருளைச் சரிபார்க்கவும்

கோப்பை தனிமைப்படுத்தப்பட்ட இயந்திரத்தில் வைத்து, எதையும் இயக்கும் முன் அதன் மெட்டாடேட்டாவைப் படியுங்கள். இந்தக் கட்டளைகள் மூன்று முக்கிய தளங்களில் வெளியீட்டாளர் கேள்விக்குப் பதிலளிக்கின்றன.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

நிலைச் சொல்லை மட்டுமல்ல, கையொப்பமிட்டவரின் பொருளைப் படியுங்கள். உள் சான்றிதழ் அதிகாரம் உள் கட்டமைப்பில் கையொப்பமிடுவது எதிர்பார்க்கப்படுகிறது; விற்பனையாளரின் வெளியீடு எனக் கூறும் தொகுப்பில் அதே சான்றிதழ் எதிர்பார்க்கப்படவில்லை.

சுயவிவரம் மட்டும் கொண்ட தொகுப்பிற்கு, காப்பகத்தைத் திறந்து ஒவ்வொரு உட்பொதிக்கப்பட்ட ஹோஸ்ட் பெயரையும் சாவியையும் கணக்கிட வேண்டிய தரவாகக் கருதுங்கள். சுயவிவரத்தில் மீண்டும் பயன்படுத்தக்கூடிய ஏதேனும் இருந்தால், போர்ட்டல் விநியோகம் அதை வரிசைப்படுத்தல் அட்டவணையுடன் பகிரப்பட்ட இரகசியமாக மாற்றுகிறது.

வரிசைப்படுத்தலுக்கு முன் உரிமையை நிர்ணயித்தல்

கடைசிக் கேள்வியின் பின்னணியில் எந்தக் கட்டளையும் இல்லை. விற்பனையாளர் புதிய வாடிக்கையாளரை அனுப்பும்போது கலைப்பொருளை யார் புதுப்பிக்கிறார், உள் கட்டமைப்பின் கையொப்பச் சாவி யாரிடம் உள்ளது, முனை நகரும் போது சுயவிவரம் எவ்வாறு சுழற்றப்படுகிறது என்பதைக் கண்டறியுங்கள். அந்தப் பெயர்களைப் பதிவிறக்க இணைப்பின் அருகில் எழுதுங்கள்.

அந்தப் பதிலை யாரும் உடைமையாகக் கொள்ளவில்லை என்றால், பதிவிறக்கம் பராமரிப்பு ஒப்பந்தமில்லாத விநியோக வழியாகும், அதுவே புகாரளிக்கத் தகுந்த கண்டுபிடிப்பு.