O VPN uygulaması resmî sürüm mü yoksa taklit mi?

Taklit yazılım adları, simgeleri ve ekran görüntülerini kopyalar ve inandırıcı görünecek kadar iyi bağlanır. Tünelin çalışması hiçbir şeyin kanıtı değildir, çünkü soru ikili dosyayı kimin yazdığıdır. Buna güvenlik denetimi değil kimlik kontrolü olarak yaklaşın ve her referans değeri uygulamanın kendi sayfasından değil, kendi seçtiğiniz bir kanaldan alın. Ardından beş kontrol gelir ve her biri diğerleri geçerken başarısız olabilir. Bunları sırayla yapın, çünkü sonraki bir kontrol öncekini kurtaramaz.

Referans değerlerinizi kendi seçtiğiniz bir kanaldan alın

Ne kurulu olduğuna bakmadan önce projenin resmî indirme talimatlarını ya da kuruluşunuzun yönetilen yazılım kanalını açın. Beklenen mağaza yayıncısını, paketin veya yükleyicinin kimliğini ve desteklenen platformları not edin, sonra bu notu bir sonraki güncellemede bulacağınız yerde saklayın. Bir arama sonucu veya sponsorlu yerleşim o kanal değildir ve ücretli yerleşim organik sonucun üstünde durur çünkü insanlar ilk eşleşmeye tıklar. Sayfayı doğruladıktan sonra yer imlerine ekleyin, böylece bir sonraki indirme tekrarlanan bir aramadan değil bir karardan başlar.

Bir ayna veya üçüncü taraf paket deposu da bir kanaldır ve yalnızca işletmecisi kadar güvenilirdir. Hangisini kullandığınızı yazın, çünkü insanların güncellemeler arasında unuttuğu tam olarak bu ayrıntıdır.

Adı değil, kurulu yayıncıyı karşılaştırın

Var olduğu yerlerde platformun kendi imza ve uygulama kayıtlarına güvenin, ardından sürümü, güncelleme yolunu ve uygulamanın istediği izinleri okuyun. Geçerli bir imzayı fark etmek, beklediğiniz yayıncıyı fark etmekle aynı şey değildir, çünkü bir sertifika yalnızca ikili dosyanın onu elinde bulunduran kişi tarafından imzalandığını doğrular. Hiç duymadığınız bir şirketin imzası hâlâ geçerli bir imzadır, bu yüzden test kastettiğiniz tarafı adlandırmalıdır. Ek yazılım getiren bir yükleyici, sertifika ister ya da beklemediğiniz bir hesap istemi açar, ürünün kendi belgelerinden bir açıklama gerektirir.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Platforma uygun kontrolü çalıştırın ve çıktısını ilk adımda yaptığınız referans notuyla karşılaştırın. Yayıncı alanındaki bir uyuşmazlık herhangi bir görsel benzerlikten daha bilgilendiricidir, çünkü bir simgeyi kopyalamak hiçbir maliyet taşımaz. Çıktı, projenin belgelerinde hiçbir yerde görünmeyen bir kuruluşu adlandırırsa orada durun ve oturum açmayın.

Kurulu imzanın gerçekte neyi kanıtladığı

Bir proje sağlama toplamı, imza veya sürüm anahtarı yayımladığında, belgelediği tüm prosedürü, referans anahtarının edinilmesine ilişkin bölüm dahil, uygulayın. İndirmeyle aynı sayfada basılan bir sağlama toplamı yalnızca dosyanın o sayfayla eşleştiğini kanıtlar; bu göründüğünden daha zayıf bir iddiadır. Yararlı soru, imzanın projenin belgelediği kimliğe taklidin kontrol etmediği bir yoldan bağlanıp bağlanmadığıdır. İnsanların bu adımı dosyanın hiç imzası var mı sorusuna kısaltması sorundur.

Bir anahtar sunucusundan alınan anahtar ile bir README dosyasında basılan parmak izi eşdeğer kanıtlar değildir. Dosyayı doğrulanmış olarak adlandırmadan önce gerçekte hangisini kullandığınıza karar verin.

Uygulama gerçek ama profil değilse

İstemci ve sunucu profili iki farklı düzenleyiciden gelir ve bunları karıştırmak yanlış ikili dosyayı kurmaktan ayrı bir hatadır. Bir projenin sürdürdüğü OpenVPN derlemesi, ilgisiz bir işletmecinin yazdığı yapılandırmayı seve seve yükler ve bu normal davranıştır, ihlal kanıtı değildir. Tersi de doğrudur: meşru bir profil resmî olmayan bir istemciyi güvenilir kılmaz. Her nesneyi kendi kaynağına karşı doğrulayın ve çalışan bir bağlantının iki kontrolü birleştirmesine asla izin vermeyin.

Harekete geçmeden önce iki nesneden hangisinin gerçekten şüpheli olduğunu sorun, çünkü çözüm farklıdır. Kötü istemci yeniden kurulum demektir, kötü profil ise bir dosyayı silip yeniden düzenlemek demektir.

Belirsizlikte harekete geçin, sonra düzgünce temizleyin

Kimlik belirsiz kalırsa kimlik bilgilerini vermeyi bırakın ve yazılımı yer imlerine eklediğiniz doğrulanmış kanal üzerinden bağımsız olarak edinin. Bir klasörü silip ummak yerine platformun istenmeyen uygulamalarla ilgili yönergelerini izleyin. Ardından kabul ettiğiniz yayıncıyı, sürümü ve doğrulama yöntemini not edin, böylece bir sonraki güncelleme bellekle değil bir olguyla karşılaştırılabilir.

Meşru bir değişimden sonra eski profilleri ve verilen izinleri hem istemcide hem işletim sisteminde gözden geçirin. İndirilen dosyayı kaldırmak, kurulu uygulamayı yerinde bırakır ve eski bir profil, onu oluşturan istemciden daha uzun yaşayabilir, üstelik hâlâ kimsenin bakmadığı bir uç noktayı işaret eder. WireGuard'ın resmî kurulum sayfası, saklamaya değer referans türüne iyi bir örnektir: bu bir ayna değil, geliştiricinin kendi listesidir.