So erkennen Sie eine gefälschte VPN-Downloadseite

Sie klicken auf die große Schaltfläche zum Herunterladen, der Installer landet, und erst später sieht die Domain in der Adressleiste falsch aus. Die Seite hatte das Logo, das Farbschema und einen Support-Link, der auf das echte Projekt zeigte. Nichts davon ist ein Beweis für die Datei, die Sie gerade ausgeführt haben. Branding ist eine Kopie; das Downloadziel ist der Teil, der entscheidet, was Sie bekommen.

Prüfen Sie, wohin die Schaltfläche Sie schickt

Fahren Sie mit der Maus über die Schaltfläche oder halten Sie sie auf dem Telefon gedrückt und lesen Sie das Ziel statt der Beschriftung. Eine Schaltfläche, die auf einen anderen Host zeigt als die Seite, auf der Sie sind, ist das stärkste einzelne Signal, und man sieht es in einer Sekunde. Wenn die Adresse ein Kurzlink, eine Partner-Weiterleitung oder ein Pfad mit einer Version ist, die Sie nicht gewählt haben, halten Sie an und holen Sie den Link an einer unabhängigen Stelle. Die Beschriftung schreibt, wer die Seite gebaut hat; der href ist die einzige Behauptung, die einen Klick überleben muss.

Suchergebnisse fügen eine zweite Ebene hinzu. Anzeigen sind gekennzeichnet, aber die Kennzeichnung ist klein, und der gesponserte Text spiegelt oft die eigene Formulierung des Projekts. Tippen Sie die Anbieterdomain ein, die Sie bereits kennen, oder nutzen Sie ein Lesezeichen, und vergleichen Sie sie mit der Adresse, auf die Sie klicken wollten. Bei Arbeitssoftware ist der freigegebene Vertriebskanal die Referenz, nicht das oberste Ergebnis.

Auch eine Anleitung ist keine Downloadseite. Eine in einen Ratgeber eingebettete Anzeige bezahlt den Autor, und ihr Ziel wählt der Werbetreibende.

HTTPS beweist die Zustellung, nicht die Identität

Das Schloss sagt, dass die Bytes von dem Host ankamen, den Sie erreicht haben, ohne unterwegs verändert zu werden. Es sagt nichts darüber, wer diesen Host betreibt, denn Zertifikate sind billig, und eine ähnliche Domain kann ein gültiges für ihren eigenen Namen haben. Lesen Sie den Hostnamen Zeichen für Zeichen, besonders den Teil vor dem ersten Schrägstrich, denn die interessanten Lügen leben in Subdomains und Wörtern mit Bindestrich. Eine Seite unter vpn-download.example.net ist ein anderer Herausgeber als example.com, selbst bei identischem Layout.

Zertifikatsdetails fügen wenig hinzu: Ein organisationsvalidiertes Zertifikat nennt ein Unternehmen, ein rein domainvalidiertes nennt niemanden. Das ist immer noch schwächer, als die Adresse aus einer Quelle zu holen, der Sie bereits vertrauen. Wenn das Schloss das Einzige war, was Sie geprüft haben, haben Sie den Lieferwagen überprüft und nicht den Absender.

Untersuchen Sie die Datei, bevor Sie sie ausführen

Prüfen Sie zuerst den Dateityp, denn die Endung ist am billigsten zu fälschen und am nützlichsten zu lesen. Eine dmg-, exe- oder msi-Datei ist ein Installer; eine ovpn- oder conf-Datei ist ein Profil, und ein Profil kann Routen, DNS-Server und Skripte mitbringen, die beim Verbinden laufen. Eine Seite, die ein Profil anbietet und es eine Verbindungsreparatur nennt, verlangt, dass Sie ihrem Inhalt vertrauen, nicht nur seiner Existenz. Vergleichen Sie das angebotene Format mit dem, was der Anbieter für Ihre Plattform dokumentiert.

Prüfen Sie dann den Herausgeber: die Signatur unter Windows, die Notarisierung und Team-ID unter macOS, das Repository und den Paketnamen unter Linux. Ein unsignierter Installer von einer Seite mit dem richtigen Logo ist weiterhin unsigniert, und die Qualität des Designs ändert daran nichts. Fehlt die Signatur oder ist der Herausgebername nicht der erwartete, halten Sie vor der ersten Eingabeaufforderung an.

Achten Sie auch auf die Installationsdialoge. Ein VPN-Client braucht kein neues Stammzertifikat, um einen Tunnel zu öffnen, und er braucht keinen breiten Festplattenzugriff, um sich zu verbinden.

Wenn Sie es bereits installiert haben

Der Download von einer zweiten unbekannten Seite zum Vergleich validiert die erste nicht, denn ein Betreiber kann beide Seiten betreiben. Der einzige nützliche Vergleich ist der mit einer unabhängig beschafften Adresse: die dokumentierte Seite des Anbieters, ein Paket-Repository oder ein Store-Eintrag, den Sie ohne Anzeige erreicht haben. Nutzen Sie diese Referenz, um zu entscheiden, ob das, was Sie haben, der echte Client ist oder etwas, das seinen Namen trägt.

Wenn der Installer gelaufen ist, prüfen Sie, was er geändert hat: installierte Anwendungen, hinzugefügte Profile, neue Zertifikate und erteilte Berechtigungen. Entfernen Sie alles, was Sie nicht zuordnen können. Wurden Zugangsdaten oder ein VPN-Profil eingegeben, behandeln Sie sie als offengelegt und ändern Sie sie über den Dienst selbst, nicht über die Seite, die danach gefragt hat.

Melden Sie die Seite dann dem Anbieter und dem Browser- oder Suchanbieter, denn das hilft der nächsten Person, die sucht. Mozillas Erklärung zum Phishing-Schutz beschreibt, was der Browser von allein erkennen kann und was nicht.

Eine Prüfung mit drei Fragen in einer Minute

Wohin zeigt die Schaltfläche tatsächlich, und ist dieser Host der, den der Anbieter dokumentiert? Was ist die Datei, und liefert der Anbieter dieses Format für diese Plattform? Wonach fragt der Installer, und fragt die Dokumentation des Anbieters nach denselben Dingen? Drei Antworten, eine Minute, und jede Abweichung ist ein Grund anzuhalten und kein Grund, vorsichtig weiterzumachen.

Halten Sie den Weg kurz, indem Sie die dokumentierte Downloadseite einmal als Lesezeichen speichern, damit Sie beim nächsten Mal nicht zwischen fünf gesponserten Ergebnissen wählen. Die Gewohnheit ist langweilig, und sie nimmt die Entscheidung aus dem Moment, in dem Sie am wenigsten sorgfältig sind.