نصب امن نرم افزار

چرا محل دانلود از خود نرم افزار مهم تر است

یک برنامه، وقتی از دو جای مختلف دانلود شود، لزوما یک فایل نیست. نام یکی است، آیکن یکی است، حتی ممکن است هنگام نصب دقیقا همان صفحه ها را نشان بدهد. اما بایت های داخلش می تواند فرق داشته باشد، و شما از بیرون هیچ راهی برای دیدنش ندارید.

این جمله تمام درس است. باقی هرچه می گوییم، راهی برای مطمئن شدن از همین یک چیز است.

سازنده نرم افزار انگیزه ای برای دستکاری فایل خودش ندارد. سایتی که فایل را بازنشر می کند، ممکن است داشته باشد یا نداشته باشد، و شما نمی توانید تشخیص بدهید. برای همین قاعده اول ساده است و استثنا هم ندارد: هر نرم افزاری را از سایت خود سازنده اش بگیرید، و اگر سازنده فروشگاه رسمی دارد، مثل فروشگاه سیستم عامل یا مخزن رسمی لینوکس، از آنجا.

قاعده ساده است و اجرایش همان جایی است که کار خراب می شود. کسی که می گوید از سایت خود سازنده بگیرید، فرض کرده شما می دانید سایت خود سازنده کدام است. سر همین یک قدم دو تله باز است. اول، ردیف های تبلیغاتی بالای صفحه جستجو: هرکسی می تواند برای نام یک نرم افزار تبلیغ بخرد و آن ردیف بالا لزوما سایت سازنده نیست. دوم، دامنه های شبیه؛ یک حرف جابه جا، یا همان نام با پسوند دیگر. چشم، نام را می خواند و آدرس را نمی خواند، و این تله دقیقا روی همین حساب باز می شود.

جواب عملی اش دو خط است. آدرس را از جایی بردارید که خود برنامه به شما داده، مثلا از منوی «درباره» نسخه ای که از قبل دارید یا از صفحه ویکی پدیای آن برنامه، نه از نتیجه جستجو. و یک بار که به سایت درست رسیدید، همان جا را نشان کنید تا دفعه بعد اصلا جستجویی در کار نباشد.

برای وردپرس همین قاعده به شکل دیگری برقرار است: افزونه را از مخزن خود وردپرس یا از سایت سازنده اش نصب کنید. یک فایل zip که در گروهی دست به دست شده، دقیقا همان چیزی است که این درس درباره اش هشدار می دهد.

چک سام چیست، به زبان ساده

چک سام یک رشته کوتاه است که از روی تک تک بایت های یک فایل حساب می شود. مثل اثر انگشت فایل. هر فایلی رشته خودش را دارد و اگر یک بایت از فایل عوض شود، رشته کاملا عوض می شود.

کاملا، نه کمی. یک نمونه واقعی که همین حالا می توانید تکرار کنید: اثر انگشت sha256 برای کلمه hello با حرف کوچک از 2cf24dba شروع می شود و برای همان کلمه با حرف بزرگ اول، Hello، از 185f8db3. یک حرف عوض شد و رشته هیچ شباهتی به قبلی ندارد. برای همین است که مقایسه دو اثر انگشت کار ساده ای است: یا حرف به حرف یکی اند یا نیستند، و حالت وسطی وجود ندارد.

سازنده های جدی، اثر انگشت فایل هایشان را کنار لینک دانلود منتشر می کنند. شما فایل را می گیرید، اثر انگشتش را روی کامپیوتر خودتان حساب می کنید، و با آنچه سازنده نوشته مقایسه می کنید. اگر یکی بود، فایلی که در دست شماست همان فایلی است که سازنده منتشر کرده. اگر نبود، پاکش کنید و دوباره دانلود کنید.

حساب کردنش هم نرم افزار خاصی نمی خواهد. در ویندوز certutil -hashfile setup.exe SHA256 و در مک و لینوکس shasum -a 256 setup.exe کار را انجام می دهد.

واقعیت سایت های دانلود ایرانی

بگذارید صادق باشیم، چون تعارف کردن اینجا به کسی کمک نمی کند. بخش بزرگی از نرم افزارهایی که در ایران نصب می شوند از سایت سازنده نمی آیند. دلیلش هم قابل درک است: خیلی از سایت های سازنده از ایران باز نمی شوند و پرداخت رسمی هم ممکن نیست. این یک انتخاب نیست، یک محدودیت است.

اما محدودیت، خطر را از بین نمی برد؛ فقط توضیحش می دهد. وقتی فایل از سایت سازنده نمی آید، سه چیز همزمان از دست می رود. اثر انگشت منتشرشده سازنده دیگر با فایل شما جور در نمی آید، پس ابزار مقایسه بی فایده می شود. نصب کننده معمولا بازبسته بندی شده تا قفل را دور بزند، یعنی کسی داخل فایل دست برده، و شما نمی دانید فقط قفل را دستکاری کرده یا چیز دیگری هم اضافه کرده. و به روزرسانی خودکار معمولا خاموش می شود، چون به روزرسانی قفل را برمی گرداند؛ همان به روزرسانی که در بخش آخر می بینید مهم ترین بخش امنیت است.

موضع ما این است و بی تعارف می گوییم: برای بازی و یک نرم افزار کوچک که چیزی از شما نمی داند، ریسک را خودتان بسنجید. اما برای هر برنامه ای که رمزهای شما، حساب بانکی شما، یا اطلاعات مشتری هایتان از آن عبور می کند، نصب کننده بازبسته بندی شده ریسک قابل قبولی نیست. آنجا اگر نمی توانید نسخه رسمی را بخرید، سراغ برنامه دیگری بروید.

جایگزین رایگان و متن باز، چرا معمولا انتخاب امن تری است

اینجا یک منطق ساده کار می کند که کمتر گفته می شود. برنامه ای که نسخه رسمی اش رایگان است، بازار نسخه دستکاری شده ندارد. کسی زحمت بازبسته بندی چیزی را نمی کشد که همه می توانند از سایت اصلی و بدون پول برش دارند. پس همان قاعده اول درس، بدون هیچ فشاری، رعایت می شود.

چند نمونه واقعی که کارشان را انجام می دهند: لیبره آفیس برای سند و صفحه گسترده، وی ال سی برای پخش ویدیو، سون زیپ برای فشرده سازی، و فایرفاکس برای مرور وب. هر چهار تا از سایت خودشان دانلود می شوند و هر چهار تا اثر انگشت یا امضای منتشرشده دارند.

حالا بخشی که یک آگهی هرگز نمی گوید: متن باز به خودی خود یعنی امن نیست. یعنی کد قابل دیدن است، و این وقتی ارزش دارد که کسی واقعا نگاهش کند. یک پروژه بزرگ با هزاران کاربر و توسعه دهنده فعال، این نگاه را دارد؛ یک افزونه ناشناخته که آخرین به روزرسانی اش سه سال پیش بوده، ندارد و باز بودن کدش هیچ چیزی را جبران نمی کند.

مهم ترین عادت؛ به روز نگه داشتن

اگر قرار باشد از این درس فقط یک کار را انجام بدهید، همین است. به روزرسانی خودکار را روشن بگذارید و پیام های به روزرسانی را دو هفته عقب نیندازید.

دلیلش این است که بیشتر حمله های واقعی، حفره های تازه کشف شده نیستند؛ حفره هایی هستند که ماه ها پیش وصله شان منتشر شده و کسی نصبش نکرده. مهاجم دنبال کشف چیز جدید نیست، دنبال کسی است که هنوز به روز نکرده.

یک نمونه از تجربه خودمان که در بلاگ همین سایت هم نوشته ایم. وردپرس ۷.۰.۴ یک انتشار امنیتی تک موضوعی بود و فقط یک فایل را عوض کرد. حفره ای که بست، اجرای کد از راه دور بود، اما فقط روی سرورهایی که ترکیب مشخصی از دو نرم افزار جانبی را داشتند. سرور خود ما دقیقا همان ترکیب را داشت. کل ماجرا برای مدیر سایت یک کلیک به روزرسانی بود، و برای کسی که آن کلیک را نمی کرد، یک در باز.

در کنارش، یک عادت کوچک تر که کم گفته می شود: نرم افزاری را که استفاده نمی کنید، پاک کنید. هر برنامه نصب شده، حتی اگر هرگز بازش نکنید، یک سطح حمله دیگر است و باید به روز بماند. کم کردن تعداد برنامه ها، خودش یک کار امنیتی است.