Ko'zgudan VPN o'rnatuvchisi? Avval nashriyotchini tekshiring

Tunnel ishladi, interfeys ochildi va sessiya bir hafta barqaror turdi. Bularning hech biri o'rnatuvchini kim yaratganini aytmaydi. VPN mijozi marshrutlarni qayta yozish va hisob ma'lumotlarini o'qish uchun yetarli imtiyozlar bilan ishlaydi, shuning uchun nashriyotchi tahdid modelining bir qismi, izoh emas.

Tekshiruvlarni tartib bilan bajaring va birinchi muvaffaqiyatsiz bo'lganida to'xtang. Ular arzon, va har biri boshqa bo'shliqni yopadi.

Birinchi qadam: Loyiha aytgan kanaldan yuklab oling

Har bir loyiha o'z chiqishlari qayerda joylashganini hujjatlashtiradi va o'sha sahifa havola hisoblanadi. Hamjamiyat qurilmalari, do'kon ro'yxatlari va sotuvchi portallari barchasi qonuniy kanallar. Har biri faqat loyihaning o'zi unga ishora qilganda qonuniy. Bu sinov, va u rasmiy ko'rinish bilan bir xil emas.

Loyiha nomi bilan atalgan fayl hech narsani isbotlamaydi. O'rnatuvchi nomini o'zgartirish bir soniyalik amal, va qidiruv natijasi birinchi ko'rsatadigan narsa — nom.

Ikkinchi qadam: Imzoni ma'lum shaxsga qarshi tekshiring

Imzo tekshiruvi tor savolga yaxshi javob beradi. U ma'lum bir shaxs bu ikkilik faylni imzolaganini va fayl shundan beri o'zgarmaganini aytadi. U bir savolga javob beradi, boshqasidan bosh tortadi. U o'sha shaxs siz ishonmoqchi bo'lgan shaxsmi yoki yo'qmi, ayta olmaydi.

# macOS: who signed this app, and is the signature intact?
codesign -dv --verbose=4 /Applications/Tunnel.app
spctl -a -vvv -t install /Applications/Tunnel.app

# Windows: signature and publisher of the installer
Get-AuthenticodeSignature .\tunnel-setup.exe | Format-List Status, SignerCertificate

# Linux: detached signature from the project's release page
gpg --verify tunnel-1.4.2.tar.gz.asc tunnel-1.4.2.tar.gz

Shaxsni o'qing, holat so'zini emas. Amaldagi sertifikatga ega aloqasiz dasturchi ham amaldagi imzo yaratadi. Tanilgan nashriyotchi haqida xabar beruvchi operatsion tizim sizga faqat kimdir sertifikat uchun pul to'laganini aytdi.

Uchinchi qadam: Xeshni mustaqil manba bilan solishtiring

Nazorat summasi ma'lumotnoma qiymat bilan mos kelishini isbotlaydi. Agar ma'lumotnoma yuklab olish yonida kelgan bo'lsa, ikkalasi birga xato bo'lishi mumkin va taqqoslash baribir o'tadi. Ko'p qo'llanmalardagi muvaffaqiyatsizlik shakli shu. Xesh o'zi tavsiflaydigan fayl bilan bir sahifada turadi.

# Linux and macOS
shasum -a 256 tunnel-1.4.2.dmg

# compare against the value published on the project's own release page
# not against a value copied from the same mirror

Loyiha imzolangan nazorat summalari yoki imzolangan chiqish manifestini e'lon qilganda, imzoni har bir faylda alohida emas, ro'yxat ustida tekshiring. Shunday qilib bitta ishonchli ma'lumotnoma butun chiqishni qamrab oladi.

O'rnatishdan keyin: Yangilanish yo'lini saqlang

Qo'llab-quvvatlanadigan kanal o'rnatish tugagandan keyin ham muhim bo'lib qoladi. Qayta paketlangan qurilmalar o'z yangilovchisini olib yurishi mumkin, va o'sha yangilovchi keyingi oyda nima ishlashini belgilaydi. Hech qachon yangilanmaydigan qurilma xavfsizroq emas. U shunchaki eskiroq.

Mijoz qanday yangilanishi kerakligini va bu qadamni boshqaruv tizimi egallashini yozib qo'ying. Agar javob forumdan qo'lda yuklab olish bo'lsa, ta'minot zanjiri savoli hech qachon chindan yopilmagan.

Ikki manba, bitta emas

Mijoz dasturchisi va profil chiqaruvchisi alohida tomonlar. Rasmiy mijozning aloqasiz operator profilini import qilishi odatiy holat, va profil o'z tekshiruviga loyiq: uni kim chiqargan, qanday yetkazilgan va server sertifikati siz kutgan nomga mos keladimi.

Ikkala manbani ham qaydlaringizda tanib olinadigan saqlang. Mijoz almashtirilganda yoki qurilma zaxira nusxadan tiklanganida, aynan o'sha ikki qator noma'lum qurilma yoki noma'lum profilning qolgan ma'lumotlar bilan qaytishiga yo'l qo'ymaydi.