Come distinguere una falsa pagina di download VPN da quella vera

Clicchi il grande pulsante di download, l'installer arriva e solo dopo il dominio nella barra degli indirizzi sembra sbagliato. La pagina aveva il logo, la combinazione di colori e un link di supporto che puntava al progetto vero. Niente di tutto ciò è una prova sul file che hai appena eseguito. Il branding è una copia; la destinazione del download è la parte che decide cosa ottieni.

Controlla dove ti manda il pulsante

Passa il cursore sul pulsante, o tieni premuto su un telefono, e leggi la destinazione invece dell'etichetta. Un pulsante che punta a un host diverso da quello della pagina su cui sei è il segnale singolo più forte, e ci vuole un secondo per vederlo. Se l'indirizzo è un accorciatore, un reindirizzamento di affiliazione o un percorso con una versione che non hai scelto, fermati e prendi il link in un posto indipendente. L'etichetta la scrive chi ha costruito la pagina; l'href è l'unica affermazione che deve sopravvivere a un clic.

I risultati di ricerca aggiungono un secondo livello. Gli annunci sono etichettati, ma l'etichetta è piccola e il testo sponsorizzato spesso imita le parole del progetto stesso. Digita il dominio del fornitore che già conosci, o usa un segnalibro, e confrontalo con l'indirizzo su cui stavi per cliccare. Per il software di lavoro, il canale di distribuzione approvato è il riferimento, non il risultato in cima.

Anche un tutorial non è una pagina di download. Un annuncio incorporato in una guida paga l'autore, e il suo bersaglio lo sceglie l'inserzionista.

HTTPS dimostra la consegna, non l'identità

Il lucchetto dice che i byte sono arrivati dall'host che hai raggiunto senza essere alterati in transito. Non dice nulla su chi gestisce quell'host, perché i certificati costano poco e un dominio simile può averne uno valido per il proprio nome. Leggi il nome dell'host carattere per carattere, soprattutto la parte prima della prima barra, perché le bugie interessanti vivono nei sottodomini e nelle parole con trattino. Una pagina su vpn-download.example.net è un editore diverso da example.com, anche con un layout identico.

I dettagli del certificato aggiungono poco: un certificato convalidato da un'organizzazione nomina un'azienda, mentre uno convalidato solo dal dominio non nomina nessuno. È comunque più debole che ottenere l'indirizzo da una fonte di cui ti fidi già. Quando il lucchetto è l'unica cosa che hai controllato, hai verificato il furgone della consegna e non il mittente.

Ispeziona il file prima di eseguirlo

Controlla prima il tipo di file, perché l'estensione è la cosa più economica da falsificare e la più utile da leggere. Un file dmg, exe o msi è un installer; un file ovpn o conf è un profilo, e un profilo può trasportare rotte, server DNS e script che vengono eseguiti alla connessione. Una pagina che offre un profilo chiamandolo riparazione di connessione ti chiede di fidarti del suo contenuto, non solo della sua esistenza. Confronta il formato offerto con quello che il fornitore documenta per la tua piattaforma.

Poi controlla l'editore: la firma su Windows, la notarizzazione e l'identificatore del team su macOS, il repository e il nome del pacchetto su Linux. Un installer non firmato da una pagina con il logo giusto resta non firmato, e la qualità del design non cambia questo fatto. Se la firma manca o il nome dell'editore non è quello che ti aspettavi, fermati prima della prima richiesta.

Osserva anche le richieste di installazione. Un client VPN non ha bisogno di un nuovo certificato radice per aprire un tunnel, e non ha bisogno di un accesso ampio al disco per connettersi.

Recupera se l'hai già installato

Scaricare da un secondo sito sconosciuto per confrontare non convalida il primo, perché un solo operatore può gestire entrambe le pagine. L'unico confronto utile è con un indirizzo ottenuto in modo indipendente: la pagina documentata del fornitore, un repository di pacchetti o una scheda di negozio raggiunta senza un annuncio. Usa quel riferimento per decidere se quello che hai è il client reale o qualcosa che ne porta il nome.

Se l'installer è stato eseguito, esamina cosa ha cambiato: applicazioni installate, profili aggiunti, nuovi certificati e autorizzazioni concesse. Rimuovi tutto ciò che non riesci ad attribuire. Se è stata inserita una credenziale o un profilo VPN, trattali come esposti e cambiali tramite il servizio stesso, non tramite la pagina che li ha chiesti.

Poi segnala la pagina al fornitore e al browser o al motore di ricerca, perché è questo che aiuta la persona successiva che cerca. La spiegazione della protezione antiphishing di Mozilla descrive cosa il browser può e non può rilevare da solo.

Un controllo in tre domande, in un minuto

Dove punta davvero il pulsante, e quell'host è quello che il fornitore documenta? Cos'è il file, e il fornitore distribuisce quel formato per questa piattaforma? Cosa chiede l'installer, e la documentazione del fornitore chiede le stesse cose? Tre risposte, un minuto, e qualsiasi discrepanza è un motivo per fermarsi, non per continuare con attenzione.

Mantieni il percorso breve salvando una volta nei segnalibri la pagina di download documentata, così la prossima volta non dovrai scegliere tra cinque risultati sponsorizzati. L'abitudine è noiosa, e toglie la decisione dal momento in cui sei meno attento.