Делюсь наблюдением о несовпадающем сертификате издателя в десктоп клиенте мессенджера под Windows.
В техподдержку сообщать не стал, так как формально ошибки в приложении нет. А несовпадение могло оказаться разовым костылём для срочного обхода недавней санкции Совета ЕС, согласно которой всех там обязали прекратить сотрудничество с подсанкционными субъектами. Что теоретически могло выразиться в таком же отзыве центрами сертификации всех сертификатов компании разработчика Макса, как это выполнялось в июне центром сертификации GlobalSign по майскому пакету санкций.
Соответственно, компания могла просто воспользоваться сертификатом какого-нибудь сотрудника, пока устраняют новую проблему.
Предыстория
В мессенджер Макс я захожу может раз в месяц, чтобы проверить, появились ли новые плюшки и не снижено ли ограничение числа публичных каналов для ИП и самозанятых. На проверку мне хватало десктопной версии, поэтому её и поставил когда-то.
И вот за прошедшие месяцы я заметил, что первоначальный установщик, то есть файл MAX.msi, а также пакет его текущего обновления, то есть файл %TMP%/Update-*/MAX.msi, подгружаемый мессенджером при появлении новой версии, всегда были подписаны одним автором - это компания Communication Platform LLC.
Тот же автор указывался службой контроля учётных записей Windows в графе издателя, когда очередное обновление пыталось выполнить какие-либо изменения на компьютере. Такое совпадение авторства вызывало у меня доверие.
Но в августовском обновлении после нажатия в клиенте ссылки "Настройки / О приложении / Проверить обновления" и окончании загрузки что-то пошло не так. Издателем вдруг оказалось неизвестное частное лицо.
Спрашивается, ху из Konstantin Syomochkin и почему теперь он издатель, а не прежняя компания разработчик?
Из спортивного интереса
Вряд ли я смог бы выяснить причину несовпадения через поиск, поэтому ограничился выяснением по сертификату Константина кто это и работает ли в штате разработчиков Макса.
Из примечательных деталей: сертификат выдан всего полмесяца спустя санкций, а сам Константин вообще из Астаны, Казахстан.
Поиск показал, что похожий и по имени и по географии человек упоминался лишь в роли Android-разработчика на сайте StackOverflow и в той же роли один раз упоминался здесь на Хабре среди спикеров в статье "Что о мобильной разработке можно будет узнать на Mobius 2023 Spring", где был отмечен как член команды разработки Дзен. Однако в неофициальном списке из 737 сотрудников VK на Хабре его тоже не нашлось.
Ещё одна деталь
Каждый из этих установщиков, отдаваемых сейчас сайтом Макс для платформы Windows со страницы "MAX для компьютера", имеет версию 26.23.0 и не содержит постороннего сертификата издателя:
MAX.msi(размер 313 Мбайт);MAX+Yandex.msi(размер 328 Мбайт).
В то время как вот этот установщик (апдейт), отдаваемый сайтом по запросу из десктопного клиента, имеет версию 26.27.3 и, соответственно, посторонний сертификат на имя Konstantin Syomochkin:
%TMP%/Update-*/MAX.msi(размер 235 Мбайт).
Так как запросы на скачивание во всех случаях идут, как мне кажется, через треккер Mail.ru и должны приходить в точку вида download.cdn.oneme.ru/win/*.msi, то лучше бы конечно ответственным лицам из команды VK проверить, не было ли нарушений в цепочке доставки установочных пакетов на десктопные клиенты.
Установку обновления клиента на свой компьютер я отклонил от греха подальше. Потому что фиг его знает, что там на самом деле.
