Ця програма VPN — офіційна збірка чи підробка?

Наслідувальне програмне забезпечення копіює імена, значки та знімки екрана і підключається достатньо добре, щоб виглядати переконливо. Робота тунелю нічого не доводить, бо питання в тому, хто написав бінарний файл. Ставтеся до цього як до перевірки особи, а не як до аудиту безпеки, і беріть кожне контрольне значення з каналу, який ви обрали самі, а не зі сторінки самої програми. Далі йдуть п'ять перевірок, і кожна може провалитися, поки інші проходять. Виконуйте їх по порядку, бо пізніша перевірка не може врятувати попередню.

Візьміть контрольні значення з каналу, який ви обрали

Відкрийте офіційні інструкції проєкту з завантаження або керований канал програм вашої організації, перш ніж дивитися, що встановлено. Запишіть очікуваного видавця в магазині, ідентичність пакета або інсталятора та підтримувані платформи, а потім зберігайте цю нотатку там, де знайдете її під час наступного оновлення. Результат пошуку або платне розміщення — не цей канал, а платне розміщення стоїть над органічним результатом саме тому, що люди натискають на перший збіг. Додайте сторінку в закладки після перевірки, щоб наступне завантаження починалося з рішення, а не з повторного пошуку.

Дзеркало або стороннє сховище пакетів — теж канал, і він надійний рівно настільки, наскільки надійний його оператор. Запишіть, яким користувалися, бо саме цю деталь люди забувають між оновленнями.

Порівнюйте встановленого видавця, а не ім'я

Спирайтеся на власні записи підписів і програм платформи там, де вони є, а потім прочитайте версію, шлях оновлення та дозволи, які запросила програма. Помітити чинний підпис — не те саме, що помітити очікуваного видавця, бо сертифікат засвідчує лише те, що бінарний файл підписав той, хто ним володіє. Підпис компанії, про яку ви ніколи не чули, усе одно чинний, тому перевірка має назвати саме ту сторону, яку ви мали на увазі. Інсталятор, що приносить додаткове програмне забезпечення, запитує сертифікат або відкриває вікно облікового запису, якого ви не чекали, потребує пояснення з документації самого продукту.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Виконайте перевірку, що відповідає платформі, і порівняйте її вивід із контрольною нотаткою з першого кроку. Розбіжність у полі видавця інформативніша за будь-яку візуальну схожість, бо скопіювати значок нічого не коштує. Якщо у виводі названо організацію, якої ніде немає в документації проєкту, зупиніться там і не входьте.

Що насправді доводить встановлений підпис

Коли проєкт публікує контрольні суми, підписи або ключі випуску, пройдіть усю задокументовану процедуру, включно з частиною про отримання еталонного ключа. Контрольна сума, надрукована на тій самій сторінці, що й завантаження, доводить лише те, що файл відповідає цій сторінці, а це слабше твердження, ніж здається. Корисне питання — чи ланцюжок підпису веде до особи, яку документує проєкт, шляхом, який підробка не контролює. Саме цей крок люди скорочують до питання, чи є в файлу підпис узагалі.

Ключ, отриманий із сервера ключів, і відбиток, надрукований у README, — не рівноцінні докази. Вирішіть, який із них ви справді використали, перш ніж називати файл перевіреним.

Коли програма справжня, а профіль — ні

Клієнт і профіль сервера походять від двох різних емітентів, і плутати їх — окрема помилка від встановлення неправильного бінарного файлу. Збірка OpenVPN, яку підтримує один проєкт, охоче завантажить конфігурацію, написану стороннім оператором, і це нормальна поведінка, а не доказ зламу. Правильне й зворотне: законний профіль не робить неофіційний клієнт вартим довіри. Перевіряйте кожен об'єкт за його власним джерелом і ніколи не дозволяйте робочому з'єднанню злити дві перевірки в одну.

Запитайте, який із двох об'єктів справді під сумнівом, перш ніж діяти, бо засіб різний. Поганий клієнт означає перевстановлення, а поганий профіль — видалення одного файлу та його повторну видачу.

Дійте за невизначеності, а потім приберіть як слід

Якщо особа залишається невизначеною, припиніть надавати облікові дані та отримайте програму самостійно через перевірений канал, який ви додали в закладки. Дотримуйтеся настанов платформи щодо небажаних програм, а не видаляйте теку й сподівайтеся. Потім запишіть видавця, версію та метод перевірки, які ви прийняли, щоб наступне оновлення можна було порівняти з фактом, а не з пам'яттю.

Після законної заміни пройдіть старі профілі та надані дозволи і в клієнті, і в операційній системі. Видалення завантаженого файлу залишає встановлену програму на місці, а старий профіль може пережити клієнт, який його створив, досі вказуючи на кінцеву точку, яку ніхто не підтримує. Офіційна сторінка встановлення WireGuard — добрий приклад того, яке посилання варто зберегти: це власний список розробника, а не дзеркало.