آئینے سے VPN انسٹالر؟ پہلے پبلشر کی تصدیق کریں

ٹنل چلا، انٹرفیس آیا اور سیشن ایک ہفتے مستحکم رہا۔ ان میں سے کوئی چیز نہیں بتاتی کہ انسٹالر کس نے بنایا۔ VPN کلائنٹ راستے دوبارہ لکھنے اور اسناد پڑھنے کے لیے کافی اختیارات کے ساتھ چلتا ہے، اس لیے پبلشر خطرے کے ماڈل کا حصہ ہے، حاشیہ نہیں۔

جانچیں ترتیب سے کریں اور پہلی ناکام جانچ پر رک جائیں۔ یہ سستی ہیں، اور ہر ایک الگ خلا بند کرتی ہے۔

پہلا مرحلہ: اسی چینل سے ڈاؤن لوڈ کریں جس کا نام پروجیکٹ بتاتا ہے

ہر پروجیکٹ درج کرتا ہے کہ اس کی ریلیز کہاں ہیں، اور وہی صفحہ حوالہ ہے۔ کمیونٹی بلڈز، اسٹور کی فہرستیں اور وینڈر پورٹل سب جائز چینل ہیں۔ ہر ایک صرف اسی وقت جائز ہے جب پروجیکٹ خود اس کی طرف اشارہ کرے۔ یہی امتحان ہے، اور یہ سرکاری دکھنے جیسا نہیں ہے۔

پروجیکٹ کے نام پر رکھی فائل کچھ ثابت نہیں کرتی۔ انسٹالر کا نام بدلنا ایک سیکنڈ کا کام ہے، اور نام ہی وہ چیز ہے جو تلاش کا نتیجہ پہلے دکھاتا ہے۔

دوسرا مرحلہ: دستخط کی تصدیق معلوم شناخت کے مقابل کریں

دستخط کی تصدیق ایک تنگ سوال کا اچھا جواب دیتی ہے۔ یہ بتاتی ہے کہ کسی مخصوص شناخت نے اس بائنری پر دستخط کیے اور بائنری اس کے بعد سے نہیں بدلی۔ یہ ایک سوال کا جواب دیتی ہے اور دوسرے سے انکار کرتی ہے۔ یہ نہیں بتا سکتی کہ وہ شناخت وہی ہے جس پر آپ بھروسہ کرنا چاہتے تھے۔

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

شناخت پڑھیں، حالت کا لفظ نہیں۔ درست سرٹیفکیٹ والا غیر متعلق ڈویلپر بھی درست دستخط بناتا ہے۔ تسلیم شدہ پبلشر کی اطلاع دینے والا آپریٹنگ سسٹم صرف یہ بتاتا ہے کہ کسی نے سرٹیفکیٹ کے پیسے دیے۔

تیسرا مرحلہ: ہیش کا موازنہ آزاد ماخذ سے کریں

چیکسم حوالہ قدر سے مطابقت ثابت کرتا ہے۔ اگر حوالہ ڈاؤن لوڈ کے ساتھ آیا ہو تو دونوں ایک ساتھ غلط ہو سکتے ہیں اور موازنہ پھر بھی پاس ہو جاتا ہے۔ زیادہ تر ٹیوٹوریلز میں ناکامی کا یہی طریقہ ہے۔ ہیش اسی صفحے پر ہوتا ہے جس پر وہ فائل ہوتی ہے جس کی وہ وضاحت کرتا ہے۔

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

جب کوئی پروجیکٹ دستخط شدہ چیکسم یا دستخط شدہ ریلیز مینی فیسٹ شائع کرے تو دستخط ہر فائل پر الگ الگ نہیں بلکہ فہرست پر تصدیق کریں۔ اس طرح ایک قابل اعتماد حوالہ پوری ریلیز کو ڈھانپ لیتا ہے۔

انسٹالیشن کے بعد: اپ ڈیٹ کا راستہ برقرار رکھیں

انسٹالیشن ختم ہونے کے بعد بھی معاون چینل اہم رہتا ہے۔ دوبارہ پیک کیے گئے بلڈز اپنا اپ ڈیٹر لے کر آ سکتے ہیں، اور وہی اپ ڈیٹر طے کرتا ہے کہ اگلے مہینے کیا چلے گا۔ جو بلڈ کبھی اپ ڈیٹ نہ ہو وہ زیادہ محفوظ نہیں ہے۔ وہ صرف زیادہ پرانا ہے۔

لکھیں کہ کلائنٹ کو کیسے اپ ڈیٹ ہونا چاہیے اور کیا کوئی مدیریتی نظام اس مرحلے کا ذمہ دار ہے۔ اگر جواب فورم سے دستی ڈاؤن لوڈ ہے تو سپلائی چین کا سوال کبھی واقعی بند نہیں ہوا۔

دو ماخذ، ایک نہیں

کلائنٹ ڈویلپر اور پروفائل جاری کرنے والا الگ فریق ہیں۔ کسی سرکاری کلائنٹ کا غیر متعلق آپریٹر سے پروفائل درآمد کرنا معمول کا انتظام ہے، اور پروفائل اپنی جانچ کا حقدار ہے: کس نے جاری کیا، کیسے پہنچایا گیا، اور کیا سرور سرٹیفکیٹ اس نام سے میل کھاتا ہے جس کی آپ توقع کرتے ہیں۔

اپنے نوٹس میں دونوں ماخذ قابل شناخت رکھیں۔ جس لمحے کلائنٹ بدلا جائے یا ڈیوائس بیک اپ سے بحال ہو، وہی دو سطریں نامعلوم بلڈ یا نامعلوم پروفائل کو باقی ڈیٹا کے ساتھ واپس آنے سے روکتی ہیں۔