איך להבדיל בין דף הורדת VPN מזויף לדף האמיתי

אתם לוחצים על כפתור ההורדה הגדול, המתקין מגיע, ורק אחר כך הדומיין בשורת הכתובת נראה שגוי. בדף היו הלוגו, ערכת הצבעים וקישור תמיכה שהצביע על הפרויקט האמיתי. שום דבר מזה אינו ראיה על הקובץ שהרצתם זה עתה. המיתוג הוא העתק; יעד ההורדה הוא החלק שקובע מה תקבלו.

בדקו לאן הכפתור שולח אתכם

רחפו מעל הכפתור, או לחצו עליו לחיצה ארוכה בטלפון, וקראו את היעד במקום את התווית. כפתור שמצביע על מארח אחר מהדף שבו אתם נמצאים הוא האות הבודד החזק ביותר, ולוקח שנייה לראות אותו. אם הכתובת היא מקצר, הפניה שותפים או נתיב עם גרסה שלא בחרתם, עצרו והשיגו את הקישור במקום עצמאי. התווית נכתבת על ידי מי שבנה את הדף; ה-href הוא הטענה היחידה שחייבת לשרוד לחיצה.

תוצאות חיפוש מוסיפות שכבה שנייה. מודעות מסומנות, אבל הסימון קטן והטקסט הממומן לעתים קרובות מחקה את הניסוח של הפרויקט עצמו. הקלידו את הדומיין של הספק שאתם כבר מכירים, או השתמשו בסימנייה, והשוו אותו לכתובת שעמדתם ללחוץ עליה. בתוכנה לעבודה, ערוץ ההפצה המאושר הוא נקודת הייחוס, לא התוצאה העליונה.

גם מדריך אינו דף הורדה. מודעה שמוטמעת במדריך משלמת ליוצר, והמפרסם בוחר את היעד שלה.

HTTPS מוכיח אספקה, לא זהות

המנעול אומר שהבתים הגיעו מהמארח שאליו הגעתם בלי ששונו בדרך. הוא לא אומר דבר על מי שמפעיל את המארח הזה, כי תעודות זולות ודומיין דומה יכול להחזיק תעודה תקפה לשמו שלו. קראו את שם המארח אות אחר אות, במיוחד את החלק שלפני הקו הנטוי הראשון, כי השקרים המעניינים חיים בתת-דומיינים ובמילים עם מקף. דף ב-vpn-download.example.net הוא מפרסם שונה מ-example.com, גם עם פריסה זהה.

פרטי התעודה מוסיפים מעט: תעודה מאומתת על ידי ארגון נוקבת בשם חברה, ואילו תעודה מאומתת רק על ידי דומיין אינה נוקבת בשם איש. זה עדיין חלש יותר מהשגת הכתובת ממקור שאתם כבר סומכים עליו. כשהמנעול הוא הדבר היחיד שבדקתם, אימתתם את רכב המשלוח ולא את השולח.

בדקו את הקובץ לפני שמריצים אותו

בדקו קודם את סוג הקובץ, כי הסיומת היא הדבר הזול ביותר לזייף והשימושי ביותר לקרוא. קובץ dmg, exe או msi הוא מתקין; קובץ ovpn או conf הוא פרופיל, ופרופיל יכול לשאת מסלולים, שרתי DNS וסקריפטים שרצים בעת ההתחברות. דף שמציע פרופיל וקורא לו תיקון חיבור מבקש שתסמכו על התוכן שלו, לא רק על קיומו. השוו את הפורמט המוצע למה שהספק מתעד לפלטפורמה שלכם.

לאחר מכן בדקו את המפרסם: החתימה ב-Windows, האימות והמזהה של הצוות ב-macOS, המאגר ושם החבילה ב-Linux. מתקין לא חתום מדף עם הלוגו הנכון נשאר לא חתום, ואיכות העיצוב לא משנה את העובדה הזו. אם החתימה חסרה או ששם המפרסם אינו זה שציפיתם לו, עצרו לפני ההנחיה הראשונה.

שימו לב גם להנחיות ההתקנה. לקוח VPN אינו זקוק לתעודת שורש חדשה כדי לפתוח מנהרה, ואינו זקוק לגישה רחבה לדיסק כדי להתחבר.

התאוששו אם כבר התקנתם אותו

הורדה מאתר לא מוכר שני לשם השוואה אינה מאמתת את הראשון, כי מפעיל אחד יכול להריץ את שני הדפים. ההשוואה השימושית היחידה היא עם כתובת שהושגה באופן עצמאי: הדף המתועד של הספק, מאגר חבילות או רשומת חנות שהגעתם אליה בלי מודעה. השתמשו בנקודת ייחוס זו כדי להחליט אם מה שיש לכם הוא הלקוח האמיתי או משהו שעוטה את שמו.

אם המתקין רץ, עברו על מה ששינה: יישומים שהותקנו, פרופילים שנוספו, תעודות חדשות והרשאות שניתנו. הסירו כל מה שאינכם יכולים לייחס. אם הוזנו פרטי התחברות או פרופיל VPN, התייחסו אליהם כאל חשופים והחליפו אותם דרך השירות עצמו, לא דרך הדף שביקש אותם.

לאחר מכן דווחו על הדף לספק ולמנוע החיפוש או הדפדפן, כי זה מה שעוזר לאדם הבא שמחפש. ה-הסבר של Mozilla על הגנת פישינג מתאר מה הדפדפן יכול לזהות בעצמו ומה לא.

בדיקה של שלוש שאלות בדקה אחת

לאן הכפתור באמת מצביע, והאם המארח הזה הוא זה שהספק מתעד? מהו הקובץ, והאם הספק מספק את הפורמט הזה לפלטפורמה הזו? מה המתקין מבקש, והאם התיעוד של הספק מבקש את אותם דברים? שלוש תשובות, דקה אחת, וכל אי-התאמה היא סיבה לעצור ולא סיבה להמשיך בזהירות.

שמרו על מסלול קצר על ידי סימון פעם אחת של דף ההורדה המתועד, כדי שבפעם הבאה לא תבחרו בין חמש תוצאות ממומנות. ההרגל משעמם, והוא מוציא את ההחלטה מהרגע שבו אתם הכי פחות זהירים.