Comment distinguer une fausse page de téléchargement VPN de la vraie

Vous cliquez sur le grand bouton de téléchargement, l'installateur arrive, et ce n'est qu'ensuite que le domaine dans la barre d'adresse paraît suspect. La page avait le logo, les couleurs et un lien d'assistance qui pointait vers le vrai projet. Rien de tout cela ne prouve quoi que ce soit sur le fichier que vous venez d'exécuter. L'image de marque est une copie ; la destination du téléchargement est la partie qui décide de ce que vous obtenez.

Vérifiez où le bouton vous envoie

Survolez le bouton, ou appuyez longuement dessus sur un téléphone, et lisez la destination plutôt que le libellé. Un bouton qui pointe vers un autre hôte que la page où vous êtes est le signal individuel le plus fort, et il suffit d'une seconde pour le voir. Si l'adresse est un raccourcisseur, une redirection d'affiliation ou un chemin contenant une version que vous n'avez pas choisie, arrêtez-vous et obtenez le lien ailleurs, de façon indépendante. Le libellé est écrit par celui qui a construit la page ; le href est la seule affirmation qui doit survivre à un clic.

Les résultats de recherche ajoutent une deuxième couche. Les annonces sont étiquetées, mais l'étiquette est petite et le texte sponsorisé reprend souvent les mots du projet lui-même. Tapez le domaine de l'éditeur que vous connaissez déjà, ou utilisez un signet, et comparez-le à l'adresse sur laquelle vous alliez cliquer. Pour un logiciel professionnel, la référence est le canal de distribution approuvé, pas le premier résultat.

Un tutoriel n'est pas non plus une page de téléchargement. Une publicité intégrée à un guide rémunère l'auteur, et sa cible est choisie par l'annonceur.

HTTPS prouve la livraison, pas l'identité

Le cadenas dit que les octets sont arrivés de l'hôte que vous avez atteint sans être modifiés en transit. Il ne dit rien sur qui exploite cet hôte, car les certificats sont bon marché et un domaine ressemblant peut en avoir un valide pour son propre nom. Lisez le nom d'hôte caractère par caractère, surtout la partie avant la première barre oblique, car les mensonges intéressants vivent dans les sous-domaines et les mots à trait d'union. Une page sur vpn-download.example.net est un éditeur différent de example.com, même avec une mise en page identique.

Les détails du certificat ajoutent peu : un certificat validé par organisation nomme une entreprise, tandis qu'un certificat validé par domaine ne nomme personne. C'est encore plus faible que d'obtenir l'adresse auprès d'une source à laquelle vous faites déjà confiance. Quand le cadenas est la seule chose que vous avez vérifiée, vous avez vérifié la camionnette de livraison et pas l'expéditeur.

Inspectez le fichier avant de l'exécuter

Vérifiez d'abord le type de fichier, car l'extension est la chose la plus facile à falsifier et la plus utile à lire. Un fichier dmg, exe ou msi est un installateur ; un fichier ovpn ou conf est un profil, et un profil peut transporter des routes, des serveurs DNS et des scripts exécutés à la connexion. Une page qui propose un profil en l'appelant réparation de connexion vous demande de faire confiance à son contenu, pas seulement à son existence. Comparez le format proposé avec ce que l'éditeur documente pour votre plateforme.

Vérifiez ensuite l'éditeur : la signature sous Windows, la notarisation et l'identifiant d'équipe sous macOS, le dépôt et le nom du paquet sous Linux. Un installateur non signé provenant d'une page au bon logo reste non signé, et la qualité du design ne change pas ce fait. Si la signature manque ou si le nom de l'éditeur n'est pas celui que vous attendiez, arrêtez-vous avant la première invite.

Surveillez aussi les invites d'installation. Un client VPN n'a pas besoin d'un nouveau certificat racine pour ouvrir un tunnel, et il n'a pas besoin d'un accès disque étendu pour se connecter.

Rétablissez si vous l'avez déjà installé

Télécharger depuis un second site inconnu pour comparer ne valide pas le premier, car un seul opérateur peut gérer les deux pages. La seule comparaison utile est celle avec une adresse obtenue indépendamment : la page documentée de l'éditeur, un dépôt de paquets ou une fiche de boutique atteinte sans publicité. Utilisez cette référence pour décider si ce que vous avez est le vrai client ou quelque chose qui porte son nom.

Si l'installateur s'est exécuté, passez en revue ce qu'il a modifié : applications installées, profils ajoutés, nouveaux certificats et autorisations accordées. Supprimez tout ce que vous ne pouvez pas attribuer. Si un identifiant ou un profil VPN a été saisi, traitez-le comme exposé et changez-le via le service lui-même, pas via la page qui l'a demandé.

Signalez ensuite la page à l'éditeur et au navigateur ou au moteur de recherche, car c'est ce qui aide la personne suivante qui cherche. L'explication de la protection antiphishing de Mozilla décrit ce que le navigateur peut et ne peut pas détecter seul.

Une vérification en trois questions, en une minute

Où mène réellement le bouton, et cet hôte est-il celui que l'éditeur documente ? Qu'est-ce que le fichier, et l'éditeur livre-t-il ce format pour cette plateforme ? Que demande l'installateur, et la documentation de l'éditeur demande-t-elle les mêmes choses ? Trois réponses, une minute, et tout écart est une raison de s'arrêter, pas une raison de continuer prudemment.

Gardez le chemin court en mettant une fois en signet la page de téléchargement documentée, afin que la prochaine fois vous n'ayez pas à choisir entre cinq résultats sponsorisés. L'habitude est ennuyeuse, et elle retire la décision du moment où vous êtes le moins attentif.