Ứng dụng VPN đó là bản chính thức hay bản sao?

Phần mềm nhái sao chép tên, biểu tượng và ảnh chụp màn hình, và nó kết nối đủ tốt để trông đáng tin. Đường hầm hoạt động không chứng minh điều gì, vì câu hỏi là ai đã viết tệp nhị phân. Hãy coi đây là kiểm tra danh tính chứ không phải đánh giá bảo mật, và lấy mọi giá trị tham chiếu từ một kênh bạn tự chọn, không phải từ trang của chính ứng dụng. Tiếp theo là năm bước kiểm tra, và mỗi bước có thể thất bại trong khi các bước khác đạt. Làm theo thứ tự, vì bước sau không thể cứu bước trước.

Lấy giá trị tham chiếu từ kênh bạn tự chọn

Mở hướng dẫn tải xuống chính thức của dự án, hoặc kênh phần mềm được quản lý của tổ chức bạn, trước khi xem thứ gì đang được cài. Ghi lại nhà phát hành dự kiến trên cửa hàng, danh tính gói cài hoặc trình cài đặt, và các nền tảng được hỗ trợ, rồi giữ ghi chú đó ở nơi bạn sẽ tìm thấy trong lần cập nhật tới. Kết quả tìm kiếm hay vị trí được tài trợ không phải kênh đó, và vị trí trả phí nằm trên kết quả tự nhiên chính vì người ta bấm vào kết quả khớp đầu tiên. Đánh dấu trang sau khi xác minh, để lần tải xuống tiếp theo bắt đầu từ một quyết định chứ không phải từ một lần tìm kiếm lặp lại.

Một bản gương hoặc kho gói của bên thứ ba cũng là một kênh, và nó chỉ đáng tin bằng người vận hành. Ghi lại bạn đã dùng cái nào, vì chính chi tiết đó là thứ người ta quên giữa các lần cập nhật.

So sánh nhà phát hành đã cài, không phải cái tên

Dựa vào hồ sơ chữ ký và ứng dụng của chính nền tảng ở nơi chúng tồn tại, rồi đọc phiên bản, đường cập nhật và các quyền mà ứng dụng yêu cầu. Nhận ra một chữ ký hợp lệ không giống như nhận ra nhà phát hành bạn mong đợi, vì chứng chỉ chỉ chứng thực rằng một tệp nhị phân được ký bởi người nắm giữ nó. Chữ ký từ một công ty bạn chưa từng nghe vẫn là chữ ký hợp lệ, nên bài kiểm tra phải nêu tên bên bạn muốn nói tới. Một trình cài đặt mang theo phần mềm phụ, yêu cầu chứng chỉ hoặc mở hộp thoại tài khoản bạn không ngờ, cần được giải thích từ tài liệu của chính sản phẩm.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Chạy bước kiểm tra phù hợp với nền tảng, và so sánh đầu ra với ghi chú tham chiếu bạn đã tạo ở bước đầu. Sự khác biệt ở trường nhà phát hành cho biết nhiều hơn mọi mức độ giống nhau về hình ảnh, vì sao chép một biểu tượng không tốn gì. Nếu đầu ra nêu một tổ chức không xuất hiện ở đâu trong tài liệu dự án, hãy dừng lại và đừng đăng nhập.

Chữ ký đã cài thực sự chứng minh điều gì

Khi một dự án công bố tổng kiểm tra, chữ ký hoặc khóa phát hành, hãy làm toàn bộ quy trình mà nó ghi lại, kể cả phần về cách lấy khóa tham chiếu. Một tổng kiểm tra in trên cùng trang với bản tải xuống chỉ chứng minh tệp khớp với trang đó, một tuyên bố yếu hơn vẻ ngoài. Câu hỏi hữu ích là chữ ký có chuỗi tới danh tính mà dự án ghi lại hay không, qua một con đường mà bản nhái không kiểm soát. Đây là bước người ta rút gọn thành tệp có chữ ký hay không.

Khóa lấy từ máy chủ khóa và dấu vân tay in trong README không phải bằng chứng tương đương. Hãy quyết định bạn thực sự dùng cái nào trước khi gọi tệp là đã xác minh.

Khi ứng dụng là thật nhưng hồ sơ thì không

Ứng dụng khách và hồ sơ máy chủ đến từ hai nhà phát hành khác nhau, và nhầm lẫn chúng là một lỗi riêng so với việc cài sai tệp nhị phân. Một bản dựng OpenVPN do một dự án duy trì sẽ vui vẻ nạp cấu hình do một nhà vận hành không liên quan viết, và đó là hành vi bình thường chứ không phải bằng chứng bị xâm nhập. Điều ngược lại cũng đúng: một hồ sơ hợp pháp không làm cho ứng dụng khách không chính thức trở nên đáng tin. Xác minh từng đối tượng theo nguồn của chính nó, và đừng bao giờ để một kết nối hoạt động gộp hai bước kiểm tra thành một.

Hỏi xem đối tượng nào trong hai thực sự đáng ngờ trước khi hành động, vì cách xử lý khác nhau. Ứng dụng khách xấu nghĩa là cài lại, còn hồ sơ xấu nghĩa là xóa một tệp và phát hành lại.

Hành động khi không chắc chắn, rồi dọn dẹp cho đúng

Nếu danh tính vẫn không chắc, hãy ngừng cung cấp thông tin đăng nhập và lấy phần mềm một cách độc lập qua kênh đã xác minh mà bạn đã đánh dấu. Làm theo hướng dẫn của nền tảng về ứng dụng không mong muốn thay vì xóa một thư mục và hy vọng. Sau đó ghi lại nhà phát hành, phiên bản và phương pháp xác minh bạn đã chấp nhận, để lần cập nhật tới có thể so với một sự thật chứ không phải với trí nhớ.

Sau một lần thay thế hợp pháp, hãy rà lại các hồ sơ cũ và các quyền đã cấp trong cả ứng dụng khách và hệ điều hành. Gỡ cài đặt tệp đã tải về để nguyên ứng dụng đã cài, và một hồ sơ cũ có thể sống lâu hơn ứng dụng khách đã tạo ra nó trong khi vẫn trỏ tới một điểm cuối không ai duy trì. Trang cài đặt chính thức của WireGuard là ví dụ phù hợp cho kiểu tham chiếu đáng giữ lại: đó là danh sách của chính nhà phát triển chứ không phải bản gương.