Чаму VPN не можа спыніць добра зробленую фішынгавую старонку

Пераканаўчая старонка ўваходу ідэальна загружаецца праз шыфраваны тунель, з замком, і ўсё роўна крадзе пароль. Гэта не збой VPN; гэта VPN, які працуе менавіта так, як задумана. Тунель абараняе шлях да таго сервера, які вы выбралі, а не ідэнтычнасць гэтага сервера. Верыць у іншае — гэта міф, які варта адправіць на спачын.

Што тунель сапраўды абараняе

VPN шыфруе трафік паміж вашай прыладай і выхадам правайдэра і хавае ваш адрас крыніцы ад прызначэння. Ён не правярае старонку, не пацвярджае арганізацыю за ёй і не параўноўвае сайт са спісам вядомых махлярстваў. Прызначэнне, якое вы набралі, — гэта прызначэнне, куды вы трапляеце, зашыфраванае.

Гэта рэальны выйгрыш для прыватнасці супраць мясцовых назіральнікаў і рэальная мяжа супраць падману. Зламысленнік атрымлівае тыя ж перавагі ад шыфравання, што і вы. Назіральнік у кавярні і прафесійны махляр — гэта розныя пагрозы з рознымі процідзеяннямі, і адзін інструмент рэдка закрывае абедзве.

Замок пацвярджае злучэнне, а не ўласніка

Сертыфікат даказвае, што дамен, да якога вы падключыліся, кантралюе ключ для гэтага дамена. Зламысленнік можа атрымаць сапраўдны сертыфікат для example-login-secure.com, нічога не даказваючы пра кампанію, якую ён імітуе. Пасля гэтага HTTPS абараняе ваш пароль на шляху да зламысленніка, і гэта не тая абарона, якую вы хацелі. Чытайце адрас, а не лагатып.

Пры нечаканым папярэджанні пра ўліковы запіс адкрыйце сапраўднае праграмнае забеспечэнне або перайдзіце з закладкі, якой ужо давяраеце. Не выкарыстоўвайце спасылку ў паведамленні і не тэлефануйце на нумар у ім, бо гэта робіць паведамленне крыніцай яго ўласнай праверкі.

Фільтры і мэнэджары пароляў — гэта падказкі

Некаторыя прадукты VPN дадаюць фільтр шкодных сайтаў, а браўзеры, DNS-рэзалверы і сродкі канчатковых пунктаў могуць блакаваць вядомыя дрэнныя адрасы. Ахоп адрозніваецца па прадукце, падпісцы і навізне старонкі, таму загружаная старонка не з’яўляецца доказам бяспекі. Спісы фільтрацыі таксама адстаюць ад нядаўна зарэгістраваных даменаў, а менавіта іх выкарыстоўвае свежая кампанія. Мэнэджар пароляў, які адмаўляецца аўтазапаўняць на несупадальным дамене, — карысны сігнал. Успрымайце яго як заклік спыніцца і прачытаць адрас.

Легітымныя рэдызайны таксама ламаюць супадзенне аўтазапаўнення, таму гэтая падказка не прысуд. Прачытайце, якую абарону ўсталяваны прадукт сапраўды ўключае, перш чым меркаваць, што тунель ўключае якую-небудзь. Маркетынгавая старонка, якая пералічвае функцыю абароны ад пагроз, не даказвае, што яна актыўная на вашай прыладзе.

Калі вы ўжо ўвялі пароль

Выкарыстайце працэс аднаўлення сапраўднай службы, змяніце выяўлены пароль і змяніце яго ўсюды, дзе ён ужываўся паўторна. Перагледзьце актыўныя сеансы і дадатковыя метады аўтэнтыфікацыі, бо украдзены пароль можа ўжо быць выкарыстаны.

Паведаміце пра інцыдэнт камандзе бяспекі працы, калі ў справе ўдзельнічае ўліковы запіс або кіраваная прылада. Захавайце арыгінальнае паведамленне для гэтай каманды, але не перасылайце жывую спасылку калегам як папярэджанне. Калі вы адкрылі ўкладанне або нешта запусцілі, выконвайце таксама рэкамендацыі платформы па бяспецы прылады, бо крадзеж уліковых даных і шкоднае праграмнае забеспечэнне — гэта асобныя праблемы.

Уключэнне VPN пасля факту не можа вярнуць пароль ад атрымальніка. Тунель абараняе наступны трафік; аднаўленне займаецца тым, што ўжо пайшло.