แอป VPN นั้นเป็นบิลด์อย่างเป็นทางการหรือของปลอม

ซอฟต์แวร์เลียนแบบคัดลอกชื่อ ไอคอน และภาพหน้าจอ และเชื่อมต่อได้ดีพอจนดูน่าเชื่อถือ การที่อุโมงค์ทำงานได้ไม่ใช่หลักฐานใด ๆ เพราะคำถามคือใครเป็นคนเขียนไบนารี ให้ถือว่านี่คือการตรวจสอบตัวตน ไม่ใช่การตรวจสอบความปลอดภัย และดึงค่าอ้างอิงทุกค่าจากช่องทางที่คุณเลือกเอง ไม่ใช่จากหน้าของแอปเอง ตามมาด้วยการตรวจห้าข้อ และแต่ละข้อล้มเหลวได้ในขณะที่ข้ออื่นผ่าน ทำตามลำดับ เพราะการตรวจทีหลังไม่สามารถช่วยการตรวจก่อนหน้าได้

ดึงค่าอ้างอิงจากช่องทางที่คุณเลือกเอง

เปิดคำแนะนำการดาวน์โหลดอย่างเป็นทางการของโปรเจกต์ หรือช่องทางซอฟต์แวร์ที่องค์กรของคุณจัดการ ก่อนที่คุณจะดูว่ามีอะไรติดตั้งอยู่ บันทึกผู้เผยแพร่ที่คาดหวังในสโตร์ ตัวตนของแพ็กเกจหรือตัวติดตั้ง และแพลตฟอร์มที่รองรับ จากนั้นเก็บบันทึกนั้นไว้ในที่ที่คุณจะหาเจอในการอัปเดตครั้งหน้า ผลการค้นหาหรือตำแหน่งที่ได้รับการสนับสนุนไม่ใช่ช่องทางนั้น และตำแหน่งที่จ่ายเงินอยู่เหนือผลลัพธ์ธรรมชาติก็เพราะผู้คนคลิกการจับคู่แรก บุ๊กมาร์กหน้าไว้เมื่อตรวจสอบแล้ว เพื่อให้การดาวน์โหลดครั้งหน้าเริ่มจากการตัดสินใจ ไม่ใช่จากการค้นซ้ำ

กระจกหรือคลังแพ็กเกจของบุคคลที่สามก็เป็นช่องทางหนึ่ง และเชื่อถือได้เท่ากับผู้ดูแลเท่านั้น เขียนว่าคุณใช้ช่องทางใด เพราะรายละเอียดนั้นคือสิ่งที่ผู้คนลืมระหว่างการอัปเดต

เปรียบเทียบผู้เผยแพร่ที่ติดตั้ง ไม่ใช่ชื่อ

พึ่งพาบันทึกลายเซ็นและแอปพลิเคชันของแพลตฟอร์มเองในที่ที่มีอยู่ แล้วอ่านเวอร์ชัน เส้นทางการอัปเดต และสิทธิ์ที่แอปขอ การพบลายเซ็นที่ใช้ได้ไม่เหมือนกับการพบผู้เผยแพร่ที่คุณคาดหวัง เพราะใบรับรองรับรองเพียงว่าไบนารีถูกลงนามโดยผู้ที่ถือมันไว้ ลายเซ็นจากบริษัทที่ไม่เคยได้ยินชื่อยังเป็นลายเซ็นที่ใช้ได้ ดังนั้นการทดสอบต้องระบุฝ่ายที่คุณหมายถึง ตัวติดตั้งที่นำซอฟต์แวร์เสริมมาด้วย ขอใบรับรองหรือเปิดหน้าต่างบัญชีที่คุณไม่ได้คาดคิด ต้องมีคำอธิบายจากเอกสารของผลิตภัณฑ์เอง

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

รันการตรวจที่ตรงกับแพลตฟอร์ม และเปรียบเทียบผลลัพธ์กับบันทึกอ้างอิงที่ทำไว้ในขั้นแรก ความไม่ตรงกันในช่องผู้เผยแพร่ให้ข้อมูลมากกว่าความคล้ายคลึงทางภาพใด ๆ เพราะการคัดลอกไอคอนไม่มีต้นทุน หากผลลัพธ์ระบุองค์กรที่ไม่ปรากฏที่ใดในเอกสารของโปรเจกต์ ให้หยุดตรงนั้นและอย่าเข้าสู่ระบบ

ลายเซ็นที่ติดตั้งพิสูจน์อะไรได้จริง

เมื่อโปรเจกต์เผยแพร่เช็กซัม ลายเซ็น หรือคีย์รีลีส ให้ทำตามขั้นตอนทั้งหมดที่เอกสารระบุ รวมถึงส่วนการได้มาซึ่งคีย์อ้างอิง เช็กซัมที่พิมพ์บนหน้าเดียวกับการดาวน์โหลดพิสูจน์เพียงว่าไฟล์ตรงกับหน้านั้น ซึ่งเป็นข้อกล่าวอ้างที่อ่อนกว่าที่เห็น คำถามที่มีประโยชน์คือลายเซ็นเชื่อมโยงถึงตัวตนที่โปรเจกต์บันทึกไว้หรือไม่ ผ่านเส้นทางที่ของปลอมไม่ได้ควบคุม นี่คือขั้นตอนที่ผู้คนย่อให้เหลือว่าไฟล์มีลายเซ็นหรือไม่

คีย์ที่ดึงมาจากเซิร์ฟเวอร์คีย์และลายนิ้วมือที่พิมพ์ใน README ไม่ใช่หลักฐานที่เทียบเท่ากัน ตัดสินใจว่าคุณใช้สิ่งใดจริงก่อนจะเรียกไฟล์ว่าตรวจสอบแล้ว

เมื่อแอปเป็นของจริงแต่โปรไฟล์ไม่ใช่

ไคลเอนต์และโปรไฟล์เซิร์ฟเวอร์มาจากผู้ออกสองรายที่ต่างกัน และการสับสนระหว่างสองสิ่งนี้เป็นความล้มเหลวที่แยกจากการติดตั้งไบนารีผิด บิลด์ OpenVPN ที่ดูแลโดยโปรเจกต์หนึ่งจะโหลดการกำหนดค่าที่ผู้ให้บริการที่ไม่เกี่ยวข้องเขียนไว้ได้อย่างสบายใจ และนั่นคือพฤติกรรมปกติ ไม่ใช่หลักฐานการถูกละเมิด กลับกันก็จริงเช่นกัน โปรไฟล์ที่ชอบด้วยกฎหมายไม่ได้ทำให้ไคลเอนต์ที่ไม่เป็นทางการน่าเชื่อถือ ตรวจสอบแต่ละวัตถุกับแหล่งของมันเอง และอย่าให้การเชื่อมต่อที่ทำงานได้รวมการตรวจสองอย่างเป็นหนึ่ง

ถามว่าวัตถุใดในสองอย่างที่สงสัยจริงก่อนลงมือ เพราะวิธีแก้ต่างกัน ไคลเอนต์แย่หมายถึงติดตั้งใหม่ ส่วนโปรไฟล์แย่หมายถึงลบไฟล์หนึ่งแล้วออกใหม่

ลงมือเมื่อไม่แน่ใจ แล้วจัดการให้เรียบร้อย

หากตัวตนยังไม่ชัดเจน ให้หยุดให้ข้อมูลประจำตัวและรับซอฟต์แวร์อย่างอิสระผ่านช่องทางที่ตรวจสอบแล้วซึ่งคุณบุ๊กมาร์กไว้ ทำตามคำแนะนำของแพลตฟอร์มเกี่ยวกับแอปที่ไม่ต้องการแทนการลบโฟลเดอร์แล้วหวัง จากนั้นบันทึกผู้เผยแพร่ เวอร์ชัน และวิธีตรวจสอบที่คุณยอมรับ เพื่อให้การอัปเดตครั้งหน้าถูกเปรียบเทียบกับข้อเท็จจริง ไม่ใช่ความจำ

หลังการเปลี่ยนที่ชอบด้วยกฎหมาย ให้ทบทวนโปรไฟล์เก่าและการให้สิทธิ์ทั้งในไคลเอนต์และระบบปฏิบัติการ การถอนการติดตั้งไฟล์ที่ดาวน์โหลดมายังคงเหลือแอปที่ติดตั้งไว้ในที่เดิม และโปรไฟล์เก่าอาจมีอายุยืนกว่าคไลเอนต์ที่สร้างมันขึ้นมา ขณะที่ยังชี้ไปยังปลายทางที่ไม่มีใครดูแล หน้าติดตั้งอย่างเป็นทางการของ WireGuard เป็นตัวอย่างที่ดีของข้อมูลอ้างอิงที่ควรเก็บไว้ เพราะเป็นรายการของนักพัฒนาเอง ไม่ใช่กระจก