Com distingir una pàgina de descàrrega de VPN falsa de la de veritat

Feu clic al botó gros de descàrrega, l'instal·lador arriba i només després el domini de la barra d'adreces sembla equivocat. La pàgina tenia el logotip, l'esquema de colors i un enllaç de suport que apuntava al projecte real. Res d'això no és una prova sobre el fitxer que acabeu d'executar. La marca és una còpia; la destinació de la descàrrega és la part que decideix què obteniu.

Comproveu on us envia el botó

Passeu el cursor sobre el botó, o manteniu-lo premut al mòbil, i llegiu la destinació en lloc de l'etiqueta. Un botó que apunta a un amfitrió diferent del de la pàgina on sou és el senyal més fort i es veu en un segon. Si l'adreça és un escurçador, una redirecció d'afiliat o un camí amb una versió que no heu triat, atureu-vos i aconseguiu l'enllaç en un lloc independent. L'etiqueta l'escriu qui ha construït la pàgina; l'href és l'única afirmació que ha de sobreviure a un clic.

Els resultats de cerca afegeixen una segona capa. Els anuncis estan etiquetats, però l'etiqueta és petita i el text patrocinat sovint imita les paraules del mateix projecte. Escriviu el domini del proveïdor que ja coneixeu, o feu servir una adreça d'interès, i compareu-lo amb l'adreça que estàveu a punt de clicar. Per al programari de feina, el canal de distribució aprovat és la referència, no el primer resultat.

Un tutorial tampoc no és una pàgina de descàrrega. Un anunci incrustat en una guia paga a l'autor, i el seu objectiu el tria l'anunciant.

HTTPS demostra el lliurament, no la identitat

El cadenat diu que els bytes han arribat de l'amfitrió que heu assolit sense alterar-se en trànsit. No diu res sobre qui opera aquest amfitrió, perquè els certificats són barats i un domini semblant pot tenir-ne un de vàlid per al seu propi nom. Llegiu el nom de l'amfitrió caràcter a caràcter, sobretot la part abans de la primera barra, perquè les mentides interessants viuen als subdominis i a les paraules amb guionets. Una pàgina a vpn-download.example.net és un editor diferent d'example.com, fins i tot amb un disseny idèntic.

Els detalls del certificat hi afegeixen poc: un certificat validat per organització nomena una empresa, mentre que un de validat només per domini no nomena ningú. Això encara és més feble que obtenir l'adreça d'una font en què ja confieu. Quan el cadenat és l'única cosa que heu comprovat, heu verificat la furgoneta de repartiment i no el remitent.

Inspeccioneu el fitxer abans d'executar-lo

Mireu primer el tipus de fitxer, perquè l'extensió és el més barat de falsificar i el més útil de llegir. Un fitxer dmg, exe o msi és un instal·lador; un fitxer ovpn o conf és un perfil, i un perfil pot portar rutes, servidors DNS i scripts que s'executen en connectar-se. Una pàgina que ofereix un perfil tot anomenant-lo reparació de connexió us demana que confieu en el seu contingut, no només en la seva existència. Compareu el format ofert amb el que el proveïdor documenta per a la vostra plataforma.

Després comproveu l'editor: la signatura a Windows, la notarització i l'identificador d'equip a macOS, el repositori i el nom del paquet a Linux. Un instal·lador sense signatura d'una pàgina amb el logotip correcte continua sense signatura, i la qualitat del disseny no millora aquest fet. Si falta la signatura o el nom de l'editor no és el que esperàveu, atureu-vos abans del primer avís.

Vigileu també els avisos d'instal·lació. Un client VPN no necessita un certificat arrel nou per obrir un túnel, ni necessita accés ampli al disc per connectar-se.

Recupereu-vos si ja l'heu instal·lat

Descarregar d'un segon lloc desconegut per comparar no valida el primer, perquè un sol operador pot gestionar les dues pàgines. L'única comparació útil és amb una adreça obtinguda de manera independent: la pàgina documentada del proveïdor, un repositori de paquets o una fitxa de botiga a què hàgiu arribat sense cap anunci. Feu servir aquesta referència per decidir si el que teniu és el client real o una cosa que porta el seu nom.

Si l'instal·lador s'ha executat, reviseu què ha canviat: aplicacions instal·lades, perfils afegits, certificats nous i permisos concedits. Traieu tot el que no pugueu atribuir. Si s'ha introduït una credencial o un perfil VPN, tracteu-los com a exposats i canvieu-los a través del servei mateix, no de la pàgina que els va demanar.

Després denuncieu la pàgina al proveïdor i al navegador o cercador, perquè això ajuda la propera persona que busqui. L'explicació de la protecció antiphishing de Mozilla descriu què pot detectar el navegador tot sol i què no.

Una comprovació de tres preguntes en un minut

On apunta realment el botó, i és aquest amfitrió el que documenta el proveïdor? Què és el fitxer, i distribueix el proveïdor aquest format per a aquesta plataforma? Què demana l'instal·lador, i la documentació del proveïdor demana les mateixes coses? Tres respostes, un minut, i qualsevol desajust és un motiu per aturar-se i no per continuar amb compte.

Manteniu el camí curt desant una vegada la pàgina de descàrrega documentada, perquè la propera vegada no trieu entre cinc resultats patrocinats. L'hàbit és avorrit i treu la decisió del moment en què esteu menys atents.