Aynadan mı VPN kurulumu? Önce yayıncıyı doğrulayın

Tünel çalıştı, arayüz açıldı ve oturum bir hafta boyunca kararlı kaldı. Bunların hiçbiri kurulumu kimin oluşturduğunu söylemez. Bir VPN istemcisi yolları yeniden yazmak ve kimlik bilgilerini okumak için yeterli ayrıcalıkla çalışır, bu yüzden yayıncı tehdit modelinin bir parçasıdır, dipnot değil.

Kontrolleri sırayla yapın ve başarısız olan ilkinde durun. Ucuzdurlar ve her biri farklı bir boşluğu kapatır.

Birinci adım: Projenin adlandırdığı kanaldan indirin

Her proje sürümlerinin nerede olduğunu belgeler ve o sayfa referanstır. Topluluk derlemeleri, mağaza kayıtları ve satıcı portalları hepsi meşru kanallardır. Her biri yalnızca projenin kendisi ona işaret ettiğinde meşrudur. Test budur ve resmi görünmekle aynı şey değildir.

Projenin adını taşıyan bir dosya hiçbir şey kanıtlamaz. Bir kurulumun adını değiştirmek bir saniyelik işlemdir ve arama sonucunun ilk gösterdiği şey addır.

İkinci adım: İmzayı bilinen bir kimliğe karşı doğrulayın

İmza doğrulama dar bir soruya iyi yanıt verir. Belirli bir kimliğin bu ikili dosyayı imzaladığını ve dosyanın o zamandan beri değişmediğini söyler. Bir soruyu yanıtlar, diğerini reddeder. O kimliğin güvenmek istediğiniz kimlik olup olmadığını söyleyemez.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Durum sözcüğünü değil, kimliği okuyun. Geçerli sertifikası olan ilgisiz bir geliştirici de geçerli bir imza üretir. Tanınmış bir yayıncı bildiren işletim sistemi size yalnızca birinin sertifika için ödeme yaptığını söylemiştir.

Üçüncü adım: Karmayı bağımsız bir kaynakla karşılaştırın

Sağlama toplamı bir referans değerle uyuşmayı kanıtlar. Referans indirmenin yanında geldiyse ikisi birlikte yanlış olabilir ve karşılaştırma yine de geçer. Çoğu eğitimdeki hata biçimi budur. Karma, tanımladığı dosyayla aynı sayfadadır.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Bir proje imzalı sağlama toplamları veya imzalı sürüm bildirimi yayımladığında, imzayı her dosyada ayrı ayrı değil listenin üzerinde doğrulayın. Böylece tek bir güvenilir referans tüm sürümü kapsar.

Kurulumdan sonra: Güncelleme yolunu koruyun

Desteklenen bir kanal kurulum bittikten sonra da önemini korur. Yeniden paketlenmiş derlemeler kendi güncelleyicisini taşıyabilir ve o güncelleyici gelecek ay neyin çalışacağına karar verir. Hiç güncellenmeyen bir derleme daha güvenli değildir. Sadece daha eskidir.

İstemcinin nasıl güncellenmesi gerektiğini ve bu adımı bir yönetim sisteminin üstlenip üstlenmediğini kaydedin. Yanıt bir forumdan elle indirmekse, tedarik zinciri sorusu hiçbir zaman gerçekten kapanmadı.

İki kaynak, bir değil

İstemci geliştiricisi ile profil veren kuruluş ayrı taraflardır. Resmi bir istemcinin ilgisiz bir operatörden profil içe aktarması normal bir düzenlemedir ve profil kendi incelemesini hak eder: kimin verdiği, nasıl teslim edildiği ve sunucu sertifikasının beklediğiniz adla eşleşip eşleşmediği.

Her iki kaynağı da notlarınızda tanımlanabilir tutun. Bir istemci değiştirildiğinde veya bir cihaz yedekten geri yüklendiğinde, bilinmeyen bir derlemenin veya bilinmeyen bir profilin verilerin geri kalanıyla birlikte geri dönmesini engelleyen tam olarak o iki satırdır.