Як адрозніць падробную старонку спампоўкі VPN ад сапраўднай

Вы націскаеце вялікую кнопку спампоўкі, усталёўшчык загружаецца, і толькі потым дамен у адрасным радку выглядае няправільна. На старонцы былі лагатып, каляровая схема і спасылка на падтрымку, якая вяла на сапраўдны праект. Нішто з гэтага не з'яўляецца доказам пра файл, які вы толькі што запусцілі. Брэнд — гэта копія; мэта спампоўкі — гэта частка, якая вырашае, што вы атрымаеце.

Праверце, куды вядзе кнопка

Навядзіце курсор на кнопку або доўга націсніце яе на тэлефоне і чытайце мэту, а не подпіс. Кнопка, якая вядзе на іншы хост, чым старонка, на якой вы знаходзіцеся, — гэта самы моцны адзіночны сігнал, і яго відаць за секунду. Калі адрас — гэта скарачальнік, партнёрскае перанакіраванне або шлях з версіяй, якую вы не выбіралі, спыніцеся і вазьміце спасылку ў незалежным месцы. Подпіс піша той, хто пабудаваў старонку; href — гэта адзінае сцвярджэнне, якое павінна перажыць націск.

Вынікі пошуку дадаюць другі ўзровень. Рэклама пазначана, але пазнака дробная, і спонсарскі тэкст часта паўтарае ўласныя словы праекта. Увядзіце дамен пастаўшчыка, які вы ўжо ведаеце, або скарыстайцеся закладкай і параўнайце яго з адрасам, на які вы збіраліся націснуць. Для працоўнай праграмы эталон — гэта ўзгоднены канал распаўсюджвання, а не першы вынік.

Кіраўніцтва таксама не з'яўляецца старонкай спампоўкі. Рэклама, убудаваная ў дапаможнік, плаціць аўтару, і яе мэту выбірае рэкламадаўца.

HTTPS даказвае дастаўку, а не ідэнтычнасць

Замак кажа, што байты прыйшлі з хоста, да якога вы дабраліся, не змененыя ў дарозе. Ён нічога не кажа пра тое, хто кіруе гэтым хостам, бо сертыфікаты танныя, і падобны дамен можа мець сапраўдны сертыфікат на сваё імя. Чытайце імя хоста па літарах, асабліва частку да першай касы, бо цікавыя хлусні жывуць у субдаменах і словах з злучком. Старонка на vpn-download.example.net — гэта іншы выдавец, чым example.com, нават з аднолькавым макетам.

Дэталі сертыфіката дадаюць нямнога: сертыфікат, правераны арганізацыяй, называе кампанію, а правераны даменам не называе нікога. Гэта ўсё яшчэ слабей, чым атрымаць адрас з крыніцы, якой вы ўжо давяраеце. Калі замак — адзінае, што вы праверылі, вы праверылі фургон дастаўкі, а не адпраўніка.

Агледзьце файл, перш чым яго запусціць

Спачатку праверце тып файла, бо пашырэнне — гэта самае таннае, што можна падмануць, і самае карыснае, што можна прачытаць. Файл dmg, exe або msi — гэта ўсталёўшчык; файл ovpn або conf — гэта профіль, а профіль можа несці маршруты, DNS-серверы і скрыпты, якія выконваюцца пры падключэнні. Старонка, якая прапануе профіль, называючы яго рамонтам злучэння, просіць вас давяраць яго змесціву, а не проста яго існаванню. Параўнайце прапанаваны фармат з тым, што пастаўшчык дакументуе для вашай платформы.

Затым праверце выдаўца: подпіс у Windows, натарызацыю і ідэнтыфікатар каманды ў macOS, рэпазіторый і назву пакета ў Linux. Неподпісаны ўсталёўшчык са старонкі з правільным лагатыпам застаецца неподпісаным, і якасць дызайну гэтага не паляпшае. Калі подпіс адсутнічае або імя выдаўца не тое, што вы чакалі, спыніцеся да першага запыту.

Сачыце таксама за запытамі пры ўсталёўцы. Кліенту VPN не патрэбны новы каранёвы сертыфікат, каб адкрыць тунель, і яму не патрэбны шырокі доступ да дыска, каб падключыцца.

Аднавіцеся, калі вы ўжо ўсталявалі яго

Спампоўка з другога невядомага сайта для параўнання не пацвярджае першы, бо адзін аператар можа кіраваць абодвума старонкамі. Адзінае карыснае параўнанне — з адрасам, атрыманым незалежна: дакументаваная старонка пастаўшчыка, рэпазіторый пакетаў або лістынг крамы, да якога вы дабраліся без рэкламы. Выкарыстайце гэтую спасылку, каб вырашыць, што ў вас: сапраўдны кліент ці нешта, якое носіць яго імя.

Калі ўсталёўшчык запусціўся, прагледзьце, што ён змяніў: усталяваныя праграмы, дададзеныя профілі, новыя сертыфікаты і выдадзеныя дазволы. Выдаліце ўсё, што вы не можаце аднесці да вядомай крыніцы. Калі былі ўведзены ўліковыя даныя або профіль VPN, лічыце іх скампраметаванымі і змяніце іх праз сам сэрвіс, а не праз старонку, якая іх запытвала.

Затым паведаміце пра старонку пастаўшчыку і браўзеру або пашукаваму сэрвісу, бо гэта дапамагае наступнаму чалавеку, які шукае. Тлумачэнне Mozilla пра ахову ад фішынгу апісвае, што браўзер можа і чаго не можа злавіць сам.

Праверка з трох пытанняў за хвіліну

Куды насамрэч вядзе кнопка, і ці гэты хост той, што дакументуе пастаўшчык? Што гэта за файл, і ці пастаўляе пастаўшчык гэты фармат для гэтай платформы? Што запытвае ўсталёўшчык, і ці запытвае дакументацыя пастаўшчыка тое ж самае? Тры адказы, адна хвіліна, і любая разбежнасць — гэта прычына спыніцца, а не прычына працягваць асцярожна.

Трымайце шлях кароткім: аднойчы дадайце ў закладкі дакументаваную старонку спампоўкі, каб наступным разам не выбіраць паміж пяццю спонсарскімі вынікамі. Звычка сумная, і яна прыбірае рашэнне з моманту, калі вы найменш асцярожныя.