Cara membedakan halaman unduhan VPN palsu dari yang asli

Anda mengeklik tombol unduh besar, penginstal masuk, dan baru setelah itu domain di bilah alamat terlihat salah. Halaman itu punya logo, skema warna, dan tautan dukungan yang mengarah ke proyek asli. Tidak satu pun dari itu adalah bukti tentang berkas yang baru saja Anda jalankan. Merek adalah salinan; tujuan unduhan adalah bagian yang menentukan apa yang Anda dapatkan.

Periksa ke mana tombol mengirim Anda

Arahkan kursor ke tombol, atau tekan lama di ponsel, lalu baca tujuannya, bukan labelnya. Tombol yang mengarah ke host berbeda dari halaman tempat Anda berada adalah sinyal tunggal terkuat, dan butuh satu detik untuk melihatnya. Jika alamatnya adalah pemendek, pengalihan afiliasi, atau jalur dengan versi yang tidak Anda pilih, berhenti dan dapatkan tautannya di tempat independen. Label ditulis oleh siapa pun yang membangun halaman; href adalah satu-satunya klaim yang harus bertahan dari klik.

Hasil pencarian menambah lapisan kedua. Iklan diberi label, tetapi labelnya kecil dan teks bersponsor sering meniru kata-kata proyek itu sendiri. Ketik domain vendor yang sudah Anda kenal, atau gunakan markah, lalu bandingkan dengan alamat yang hendak Anda klik. Untuk perangkat lunak kerja, referensinya adalah saluran distribusi yang disetujui, bukan hasil teratas.

Tutorial juga bukan halaman unduhan. Iklan yang tertanam di panduan membayar penulisnya, dan sasarannya dipilih oleh pengiklan.

HTTPS membuktikan pengiriman, bukan identitas

Gembok mengatakan bahwa byte tiba dari host yang Anda capai tanpa diubah dalam perjalanan. Itu tidak mengatakan apa pun tentang siapa yang mengoperasikan host tersebut, karena sertifikat itu murah dan domain serupa bisa memiliki sertifikat sah untuk namanya sendiri. Baca nama host karakter demi karakter, terutama bagian sebelum garis miring pertama, karena kebohongan yang menarik tinggal di subdomain dan kata berhubung. Halaman di vpn-download.example.net adalah penerbit berbeda dari example.com, bahkan dengan tata letak identik.

Detail sertifikat menambah sedikit: sertifikat yang divalidasi organisasi menyebut perusahaan, sedangkan yang divalidasi domain saja tidak menyebut siapa pun. Itu masih lebih lemah daripada mendapatkan alamat dari sumber yang sudah Anda percayai. Ketika gembok adalah satu-satunya hal yang Anda periksa, Anda memverifikasi mobil pengantar dan bukan pengirimnya.

Periksa berkas sebelum menjalankannya

Periksa jenis berkas lebih dulu, karena ekstensi adalah hal termurah untuk dipalsukan dan paling berguna untuk dibaca. Berkas dmg, exe, atau msi adalah penginstal; berkas ovpn atau conf adalah profil, dan profil dapat membawa rute, server DNS, dan skrip yang berjalan saat terhubung. Halaman yang menawarkan profil sambil menyebutnya perbaikan koneksi meminta Anda memercayai isinya, bukan hanya keberadaannya. Bandingkan format yang ditawarkan dengan yang didokumentasikan vendor untuk platform Anda.

Lalu periksa penerbitnya: tanda tangan di Windows, notarisasi dan pengenal tim di macOS, repositori dan nama paket di Linux. Penginstal tanpa tanda tangan dari halaman berlogo benar tetap tanpa tanda tangan, dan kualitas desain tidak mengubah fakta itu. Jika tanda tangan tidak ada atau nama penerbit bukan yang Anda harapkan, berhenti sebelum perintah pertama.

Perhatikan juga perintah pemasangan. Klien VPN tidak memerlukan sertifikat akar baru untuk membuka terowongan, dan tidak memerlukan akses disk yang luas untuk terhubung.

Pulihkan jika Anda sudah memasangnya

Mengunduh dari situs tidak dikenal kedua untuk membandingkan tidak memvalidasi yang pertama, karena satu operator dapat menjalankan kedua halaman. Perbandingan yang berguna hanyalah dengan alamat yang diperoleh secara independen: halaman terdokumentasi vendor, repositori paket, atau daftar toko yang Anda capai tanpa iklan. Gunakan rujukan itu untuk memutuskan apakah yang Anda miliki adalah klien asli atau sesuatu yang memakai namanya.

Jika penginstal berjalan, tinjau apa yang diubahnya: aplikasi terpasang, profil yang ditambahkan, sertifikat baru, dan izin yang diberikan. Hapus apa pun yang tidak dapat Anda pertanggungjawabkan. Jika kredensial atau profil VPN dimasukkan, anggap itu terbuka dan ganti melalui layanan itu sendiri, bukan melalui halaman yang memintanya.

Lalu laporkan halaman itu kepada vendor dan kepada peramban atau penyedia pencarian, karena itulah yang membantu orang berikutnya yang mencari. penjelasan Mozilla tentang perlindungan phishing menjelaskan apa yang bisa dan tidak bisa ditangkap peramban dengan sendirinya.

Pemeriksaan tiga pertanyaan dalam satu menit

Ke mana tombol benar-benar mengarah, dan apakah host itu yang didokumentasikan vendor? Apa berkasnya, dan apakah vendor mengirimkan format itu untuk platform ini? Apa yang diminta penginstal, dan apakah dokumentasi vendor meminta hal yang sama? Tiga jawaban, satu menit, dan ketidakcocokan apa pun adalah alasan untuk berhenti, bukan alasan untuk melanjutkan dengan hati-hati.

Jaga jalur tetap pendek dengan menandai halaman unduhan terdokumentasi sekali, sehingga lain kali Anda tidak memilih di antara lima hasil bersponsor. Kebiasaan itu membosankan, dan itu menjauhkan keputusan dari saat Anda paling tidak cermat.