Hoe om ’n vals VPN-aflaai bladsy van die regte een te onderskei

Jy klik die groot aflaai-knoppie, die installeerder kom in, en eers later lyk die domein in die adresbalk verkeerd. Die bladsy het die logo, die kleurskema en ’n ondersteuningskakel gehad wat na die regte projek gewys het. Niks daarvan is bewyse oor die lêer wat jy pas uitgevoer het nie. Handelsmerke is ’n kopie; die aflaai-bestemming is die deel wat bepaal wat jy kry.

Kyk waarheen die knoppie jou stuur

Wys die knoppie oor, of hou dit op ’n telefoon lank ingedruk, en lees die bestemming eerder as die etiket. ’n Knoppie wat na ’n ander gasheer wys as die bladsy waarop jy is, is die sterkste enkele sein, en dit neem ’n sekonde om te sien. As die adres ’n kortskakel, ’n affiliëringsaanstuur of ’n pad met ’n weergawe is wat jy nie gekies het nie, stop en kry die skakel elders onafhanklik. Die etiket word geskryf deur wie die bladsy ook al gebou het; die href is die enigste bewering wat ’n klik moet oorleef.

Soekresultate voeg ’n tweede laag by. Advertensies is gemerk, maar die merkie is klein en die geborgde teks weerspieël dikwels die projek se eie woorde. Tik die verskaffer-domein wat jy al ken, of gebruik ’n boekmerk, en vergelyk dit met die adres wat jy op die punt was om te klik. Vir werksagteware is die goedgekeurde verspreidingskanaal die verwysing, nie die beste resultaat nie.

’n Handleiding is ook nie ’n aflaai-bladsy nie. ’n Advertensie wat in ’n gids ingebed is, betaal die skrywer, en die teiken daarvan word deur die adverteerder gekies.

HTTPS bewys aflewering, nie identiteit nie

Die slot sê die grepe het van die gasheer gekom wat jy bereik het sonder om onderweg verander te word. Dit sê niks oor wie daardie gasheer bedryf nie, want sertifikate is goedkoop en ’n soortgelyke domein kan ’n geldige een vir sy eie naam hê. Lees die gasheernaam karakter vir karakter, veral die deel voor die eerste skuinsstreep, want die interessante leuens woon in subdomeine en woorde met koppeltekens. ’n Bladsy by vpn-download.example.net is ’n ander uitgewer as example.com, selfs met ’n identiese uitleg.

Sertifikaatbesonderhede voeg ’n bietjie by: ’n organisasie-gevalideerde sertifikaat noem ’n maatskappy, terwyl ’n domein-gevalideerde een niemand noem nie. Dit is steeds swakker as om die adres by ’n bron te kry wat jy al vertrou. Wanneer die slot die enigste ding is wat jy nagegaan het, het jy die afleweringswa geverifieer en nie die afsender nie.

Ondersoek die lêer voordat jy dit uitvoer

Kyk eers na die lêertipe, want die uitbreiding is die goedkoopste ding om te vervals en die nuttigste ding om te lees. ’n dmg-, exe- of msi-lêer is ’n installeerder; ’n ovpn- of conf-lêer is ’n profiel, en ’n profiel kan roetes, DNS-bediener en skrifte dra wat loop wanneer dit verbind. ’n Bladsy wat ’n profiel aanbied terwyl dit ’n verbindingsherstel genoem word, vra jou om sy inhoud te vertrou, nie net sy bestaan nie. Vergelyk die aangebode formaat met wat die verskaffer vir jou platform dokumenteer.

Kyk dan na die uitgewer: die handtekening op Windows, die notarisering en span-identifiseerder op macOS, die bewaarplek en pakketnaam op Linux. ’n Ongetekende installeerder van ’n bladsy met die regte logo is steeds ongetekend, en die kwaliteit van die ontwerp verbeter daardie feit nie. As die handtekening ontbreek of die uitgewer se naam nie die een is wat jy verwag het nie, stop voor die eerste opdrag.

Let ook op die installasie-opdragte. ’n VPN-kliënt het nie ’n nuwe wortelsertifikaat nodig om ’n tonnel oop te maak nie, en dit het nie breë skyftoegang nodig om te verbind nie.

Herstel as jy dit al geïnstalleer het

Om by ’n tweede onbekende werf af te laai om te vergelyk, bevestig nie die eerste nie, want een operateur kan albei bladsye bedryf. Die enigste nuttige vergelyking is teen ’n adres wat onafhanklik verkry is: die verskaffer se gedokumenteerde bladsy, ’n pakketbewaarplek, of ’n winkelinskrywing wat jy sonder ’n advertensie bereik het. Gebruik daardie verwysing om te besluit of dit wat jy het die ware kliënt is of iets wat sy naam dra.

As die installeerder geloop het, gaan na wat dit verander het: geïnstalleerde programme, bygevoegde profiele, nuwe sertifikate en toegestane regte. Verwyder alles wat jy nie kan toeskryf nie. As ’n aanmelding of ’n VPN-profiel ingevoer is, beskou dit as blootgestel en roteer dit deur die diens self, nie deur die bladsy wat daarvoor gevra het nie.

Rapporteer dan die bladsy aan die verskaffer en aan die blaaier of soekverskaffer, want dit is wat die volgende persoon wat soek help. Mozilla se verduideliking van phishing-beskerming beskryf wat die blaaier op sy eie kan en nie kan vang nie.

’n Drie-vraag-toets wat jy in ’n minuut kan doen

Waarheen wys die knoppie werklik, en is daardie gasheer die een wat die verskaffer dokumenteer? Wat is die lêer, en lewer die verskaffer daardie formaat vir hierdie platform? Waarvoor vra die installeerder, en vra die verskaffer se dokumentasie dieselfde dinge? Drie antwoorde, een minuut, en enige verskil is ’n rede om te stop eerder as ’n rede om versigtig voort te gaan.

Hou die pad kort deur die gedokumenteerde aflaai-bladsy een keer te merk, sodat jy die volgende keer nie tussen vyf geborgde resultate hoef te kies nie. Die gewoonte is vervelig, en dit haal die besluit uit die oomblik wanneer jy die minste versigtig is.