ตัวติดตั้ง VPN จากมิเรอร์? ตรวจสอบผู้เผยแพร่ก่อน

อุโมงค์ทำงาน อินเทอร์เฟซขึ้น และเซสชันคงที่ตลอดหนึ่งสัปดาห์ ไม่มีสิ่งใดบอกคุณว่าใครสร้างตัวติดตั้ง ไคลเอนต์ VPN ทำงานด้วยสิทธิ์เพียงพอที่จะเขียนเส้นทางใหม่และอ่านข้อมูลรับรอง ดังนั้นผู้เผยแพร่จึงเป็นส่วนหนึ่งของแบบจำลองภัยคุกคาม ไม่ใช่เชิงอรรถ

ทำการตรวจสอบตามลำดับและหยุดที่รายการแรกที่ล้มเหลว ราคาไม่แพง และแต่ละรายการปิดช่องว่างที่แตกต่างกัน

ขั้นตอนแรก: ดาวน์โหลดจากช่องทางที่โครงการระบุ

ทุกโครงการจัดทำเอกสารว่า release อยู่ที่ใด และหน้านั้นคือข้อมูลอ้างอิง บิลด์ของชุมชน รายการในสโตร์ และพอร์ทัลของผู้จำหน่ายล้วนเป็นช่องทางที่ชอบธรรม แต่ละช่องทางชอบธรรมก็ต่อเมื่อโครงการเองชี้ไปที่ช่องทางนั้น นั่นคือการทดสอบ และไม่เหมือนกับการดูเป็นทางการ

ไฟล์ที่ตั้งชื่อตามโครงการไม่ได้พิสูจน์อะไร การเปลี่ยนชื่อตัวติดตั้งเป็นการดำเนินการหนึ่งวินาที และชื่อคือสิ่งแรกที่ผลการค้นหาแสดง

ขั้นตอนที่สอง: ตรวจสอบลายเซ็นเทียบกับตัวตนที่รู้จัก

การตรวจสอบลายเซ็นตอบคำถามแคบ ๆ ได้ดี มันบอกคุณว่าตัวตนหนึ่งลงนามในไบนารีนี้และไบนารีไม่เปลี่ยนแปลงตั้งแต่นั้น มันตอบคำถามหนึ่งข้อและปฏิเสธอีกข้อ มันไม่สามารถบอกได้ว่าตัวตนนั้นคือตัวตนที่คุณตั้งใจจะไว้วางใจหรือไม่

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

อ่านตัวตน ไม่ใช่คำสถานะ นักพัฒนาที่ไม่เกี่ยวข้องซึ่งมีใบรับรองที่ถูกต้องก็สร้างลายเซ็นที่ถูกต้องได้ ระบบปฏิบัติการที่รายงานผู้เผยแพร่ที่รู้จักเพียงบอกคุณว่ามีคนจ่ายเงินซื้อใบรับรอง

ขั้นตอนที่สาม: เปรียบเทียบแฮชกับแหล่งข้อมูลอิสระ

เช็กซัมพิสูจน์ความสอดคล้องกับค่าอ้างอิง หากค่าอ้างอิงมาพร้อมกับการดาวน์โหลด ทั้งสองอาจผิดด้วยกันและการเปรียบเทียบยังผ่าน นั่นคือรูปแบบความล้มเหลวในบทแนะนำส่วนใหญ่ แฮชอยู่ในหน้าเดียวกับไฟล์ที่มันอธิบาย

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

เมื่อโครงการเผยแพร่เช็กซัมที่ลงนามหรือ manifest ของ release ที่ลงนาม ให้ตรวจสอบลายเซ็นบนรายการแทนที่จะตรวจสอบแต่ละไฟล์แยกกัน วิธีนี้ข้อมูลอ้างอิงที่เชื่อถือได้หนึ่งรายการครอบคลุมทั้ง release

หลังการติดตั้ง: รักษาเส้นทางการอัปเดต

ช่องทางที่ได้รับการสนับสนุนยังคงสำคัญหลังจากติดตั้งเสร็จ บิลด์ที่บรรจุใหม่สามารถนำตัวอัปเดตของตัวเองมา และตัวอัปเดตนั้นเป็นตัวกำหนดสิ่งที่จะทำงานในเดือนหน้า บิลด์ที่ไม่เคยอัปเดตไม่ปลอดภัยกว่า มันแค่เก่ากว่า

บันทึกว่าไคลเอนต์ควรอัปเดตอย่างไรและระบบจัดการเป็นเจ้าของขั้นตอนนั้นหรือไม่ หากคำตอบคือการดาวน์โหลดด้วยตนเองจากฟอรัม คำถามเรื่องห่วงโซ่อุปทานก็ไม่เคยปิดจริง

สองต้นกำเนิด ไม่ใช่หนึ่ง

นักพัฒนาไคลเอนต์และผู้ออกโปรไฟล์เป็นฝ่ายที่แยกจากกัน ไคลเอนต์ทางการที่นำเข้าโปรไฟล์จากผู้ให้บริการที่ไม่เกี่ยวข้องเป็นเรื่องปกติ และโปรไฟล์สมควรได้รับการตรวจสอบของตัวเอง: ใครออกให้ ส่งมอบอย่างไร และใบรับรองเซิร์ฟเวอร์ตรงกับชื่อที่คุณคาดหวังหรือไม่

เก็บต้นกำเนิดทั้งสองให้ระบุได้ในบันทึกของคุณ ในขณะที่ไคลเอนต์ถูกแทนที่หรืออุปกรณ์ถูกกู้คืนจากข้อมูลสำรอง สองบรรทัดนั้นคือสิ่งที่ป้องกันไม่ให้บิลด์ที่ไม่รู้จักหรือโปรไฟล์ที่ไม่รู้จักกลับมาพร้อมกับข้อมูลที่เหลือ