Sådan skelner du en falsk VPN-downloadside fra den ægte

Du klikker på den store downloadknap, installationsprogrammet lander, og først bagefter ser domænet i adresselinjen forkert ud. Siden havde logoet, farveskemaet og et supportlink, der pegede på det rigtige projekt. Intet af det er bevis for den fil, du lige har kørt. Branding er en kopi; downloaddestinationen er den del, der afgør, hvad du får.

Kontroller, hvor knappen sender dig hen

Hold musen over knappen, eller tryk længe på den på en telefon, og læs destinationen i stedet for etiketten. En knap, der peger på en anden vært end den side, du er på, er det stærkeste enkelttegn, og det tager et sekund at se. Hvis adressen er en forkorter, en partneromdirigering eller en sti med en version, du ikke valgte, så stop og hent linket et uafhængigt sted. Etiketten skrives af den, der byggede siden; href er den eneste påstand, der skal overleve et klik.

Søgeresultater tilføjer et ekstra lag. Annoncer er mærkede, men mærket er lille, og den sponserede tekst efterligner ofte projektets egne ord. Skriv det leverandørdomæne, du allerede kender, eller brug et bogmærke, og sammenlign det med den adresse, du var ved at klikke på. Til arbejdssoftware er den godkendte distributionskanal reference, ikke det øverste resultat.

En vejledning er heller ikke en downloadside. En annonce, der er indlejret i en guide, betaler forfatteren, og dens mål vælges af annoncøren.

HTTPS beviser levering, ikke identitet

Hængelåsen siger, at byteene ankom fra den vært, du nåede, uden at blive ændret undervejs. Den siger intet om, hvem der driver den vært, fordi certifikater er billige, og et lignende domæne kan have et gyldigt et til sit eget navn. Læs værtsnavnet tegn for tegn, især delen før den første skråstreg, fordi de interessante løgne bor i underdomæner og bindestregsord. En side på vpn-download.example.net er en anden udgiver end example.com, selv med et identisk layout.

Certifikatoplysninger tilføjer lidt: et organisationsvalideret certifikat navngiver en virksomhed, mens et domænevalideret ikke navngiver nogen. Det er stadig svagere end at hente adressen fra en kilde, du allerede stoler på. Når hængelåsen er det eneste, du kontrollerede, verificerede du leveringsbilen og ikke afsenderen.

Undersøg filen, før du kører den

Kontroller filtypen først, fordi filtypenavnet er det billigste at forfalske og det mest nyttige at læse. En dmg-, exe- eller msi-fil er et installationsprogram; en ovpn- eller conf-fil er en profil, og en profil kan bære ruter, DNS-servere og scripts, der kører, når den opretter forbindelse. En side, der tilbyder en profil og kalder den en forbindelsesreparation, beder dig stole på dens indhold, ikke bare dens eksistens. Sammenlign det tilbudte format med det, leverandøren dokumenterer til din platform.

Kontroller derefter udgiveren: signaturen på Windows, notariseringen og teamidentifikatoren på macOS, repositoriet og pakkenavnet på Linux. Et usigneret installationsprogram fra en side med det rigtige logo er stadig usigneret, og designets kvalitet ændrer ikke på det. Hvis signaturen mangler, eller udgiverens navn ikke er det, du forventede, så stop før den første prompt.

Hold også øje med installationsprompterne. En VPN-klient har ikke brug for et nyt rodcertifikat for at åbne en tunnel, og den har ikke brug for bred diskadgang for at oprette forbindelse.

Gendan, hvis du allerede har installeret det

At downloade fra et andet ukendt websted for at sammenligne validerer ikke det første, fordi én operatør kan drive begge sider. Den eneste nyttige sammenligning er med en adresse, der er hentet uafhængigt: leverandørens dokumenterede side, et pakkerepositorium eller en butikslistning, du nåede frem til uden en annonce. Brug den reference til at afgøre, om det, du har, er den rigtige klient eller noget, der bærer dens navn.

Hvis installationsprogrammet kørte, så gennemgå, hvad det ændrede: installerede programmer, tilføjede profiler, nye certifikater og givne tilladelser. Fjern alt, du ikke kan henføre. Hvis en legitimationsoplysning eller en VPN-profil blev indtastet, så betragt den som afsløret og skift den gennem tjenesten selv, ikke gennem den side, der bad om den.

Rapporter derefter siden til leverandøren og til browseren eller søgeudbyderen, for det er det, der hjælper den næste person, der søger. Mozillas forklaring af phishingbeskyttelse beskriver, hvad browseren selv kan og ikke kan fange.

Et tjek med tre spørgsmål på et minut

Hvor peger knappen faktisk hen, og er den vært den, leverandøren dokumenterer? Hvad er filen, og leverer leverandøren det format til denne platform? Hvad beder installationsprogrammet om, og beder leverandørens dokumentation om det samme? Tre svar, et minut, og enhver uoverensstemmelse er en grund til at stoppe frem for en grund til at fortsætte forsigtigt.

Hold vejen kort ved at bogmærke den dokumenterede downloadside én gang, så du næste gang ikke skal vælge mellem fem sponsorerede resultater. Vanen er kedelig, og den fjerner beslutningen fra det øjeblik, hvor du er mindst omhyggelig.