VPN portalı yükleyicisi: paket, profil mi yoksa yeniden derleme mi?

Bir VPN portalının indirme düğmesi tam olarak bir dosya döndürür ve bu dosya iki çok farklı şey olabilir: yanında bir yapılandırma profili taşıyan satıcının hazır yükleyicisi ya da kuruluşun kendi derlediği bir yapı. Sayfa her iki durumda da aynı görünür, bu yüzden düğme hangisine sahip olduğunuzu söyleyemez. Arkasında üç soru vardır — yürütülebilir dosyayı kim yayımladı, kurulum hangi yapılandırmayı yazıyor ve bir sonraki istemci sürümü geldiğinde bunu kim onarıyor. Birincisini artefaktın üst verilerinden, ikincisini paketin içeriğinden, üçüncüsünü yalnızca dağıtımın sahibi olan ekipten yanıtlarsınız.

Tarayıcıdaki kilit aktarımı kapsar, artefaktı değil.

İndirme uç noktası gerçekte ne döndürür

Çoğu portal, indirme isteğini ya saklanan bir dosyayı akıtan ya da dosyayı anında birleştiren küçük bir işleyiciye verir, ardından yanıt çıkmadan önce bir dosya adı ve içerik türü belirler. Gelen şey bir kapsayıcıdır: MSI, PKG, DEB veya RPM ya da bunlardan birinin çevresinde kendini açan bir sarmalayıcı. İçinde istemcinin ikili dosyası vardır ve dosya adındaki hiçbir şey bu ikili dosyanın satıcıdan mı yoksa kurum içi bir derleme hattından mı geldiğini güvenilir biçimde söylemez. client-setup.exe adlı bir dosya, köken gerçeğini değil adlandırma kararını kaydeder.

İndirilen baytları satıcının yayımladığı sağlama toplamıyla karşılaştırın. Uyuşmazlık kötü niyeti kanıtlamaz; dosyanın satıcının derlemesi olmadığını kanıtlar ve üzerinde işlem yapmaya değer fark budur.

Profil istemciye nerede girer

Önceden doldurulmuş ayarlar genellikle yükleyicinin kullanıcı başına ya da makine başına bir yola kopyaladığı ayrı bir dosya olarak yolculuk eder: Windows'ta bir JSON veya XML profili, macOS'ta bir yapılandırma profili, Linux'ta /etc altında bir parça. O dosyadaki değerler — ağ geçidi ana bilgisayar adları, güven çapaları, bazen kayıt malzemesi — ilk başlatmada istemcinin varsayılanları olur. Bu yüzden tek bir indirme kodun yanı sıra sırlar da taşıyabilir.

Yükseltme yolunun profille ne yaptığını sorun. Paketlemeye bağlı olarak bir istemci güncellemesinden sağ çıkabilir, onun tarafından üzerine yazılabilir ya da yeni sürümde şema doğrulamasında başarısız olabilir.

İmza zincirinin kanıtlamadığı şey

Kod imzalama, bir yayıncı kimliğini bir dosya karmasına bağlar ve Windows'ta Authenticode zaman damgası bir imzanın onu oluşturan sertifikadan daha uzun yaşamasına izin verir. Geçerli bir sonuç iki soruyu yanıtlar: bu baytları hangi yayıncı imzaladı ve sonradan değiştiler mi. Yükleyicinin hizmetlerini, kayıt defteri yazımlarını veya birlikte gelen sürücüleri listelemez ve o yayıncıya burada güvenilip güvenilmeyeceğine karar vermez. Microsoft'un Authenticode belgeleri mekanizmayı açıklar ve bu dar kapsam konusunda açıktır.

Portal kimlik doğrulaması üçüncü bir soruyu yanıtlar: oturumun amaçlanan sunucuya ulaşıp ulaşmadığını. Üç farklı denetim, üç farklı başarısızlık biçimi.

Artefaktı kimse çalıştırmadan doğrulayın

Dosyayı yalıtılmış bir makineye koyun ve herhangi bir şey çalıştırmadan önce üst verilerini okuyun. Bu komutlar üç ana platformda yayıncı sorusunu yanıtlar.

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

Yalnızca durum sözcüğünü değil, imzalayanın konusunu okuyun. Kurum içi bir sertifika yetkilisinin kurum içi bir derlemeyi imzalaması beklenir; satıcının sürümü olduğunu iddia eden bir pakette aynı sertifika beklenmez.

Yalnızca profil içeren bir paket için arşivi açın ve gömülü her ana bilgisayar adını ve anahtarı hesabı verilmesi gereken veri olarak değerlendirin. Profil yeniden kullanılabilir bir şey içeriyorsa portal dağıtımı bunu bir dağıtım takvimiyle paylaşılan sırra dönüştürür.

Dağıtımdan önce sahipliği belirlemek

Son sorunun arkasında hiçbir komut yoktur. Satıcı yeni bir istemci gönderdiğinde artefaktı kimin güncellediğini, kurum içi bir derlemenin imzalama anahtarını kimin tuttuğunu ve bir uç nokta taşındığında profilin nasıl döndürüldüğünü öğrenin. Bu adları indirme bağlantısının yanına yazın.

Kimse bu yanıta sahip değilse, indirme bakım sözleşmesi olmayan bir dağıtım kanalıdır ve bildirilmeye değer bulgu budur.