가짜 VPN 다운로드 페이지와 진짜를 구별하는 방법

큰 다운로드 버튼을 누르고 설치 프로그램이 도착한 뒤에야 주소 표시줄의 도메인이 이상해 보인다. 페이지에는 로고와 색 구성, 실제 프로젝트를 가리키는 지원 링크까지 있었다. 그 어느 것도 방금 실행한 파일에 대한 증거가 아니다. 브랜딩은 복제일 뿐이고, 무엇을 받게 되는지를 결정하는 것은 다운로드 목적지다.

버튼이 어디로 보내는지 확인한다

버튼 위에 커서를 올리거나 휴대폰에서 길게 눌러, 라벨이 아니라 목적지를 읽는다. 지금 보고 있는 페이지와 다른 호스트를 가리키는 버튼이 가장 강력한 단일 신호이며, 보는 데 한순간이면 충분하다. 주소가 단축 링크, 제휴 리디렉션, 또는 선택하지 않은 버전이 포함된 경로라면 멈추고 독립적인 곳에서 링크를 구한다. 라벨은 페이지를 만든 사람이 쓰지만, href만이 클릭을 견뎌야 하는 유일한 주장이다.

검색 결과는 두 번째 층을 더한다. 광고에는 표시가 붙지만 그 표시는 작고, 스폰서 문구는 프로젝트 자체의 표현을 흉내내는 경우가 많다. 이미 알고 있는 공급업체 도메인을 입력하거나 북마크를 사용하고, 클릭하려던 주소와 비교한다. 업무용 소프트웨어라면 기준은 승인된 배포 채널이지 최상위 결과가 아니다.

튜토리얼도 다운로드 페이지가 아니다. 가이드에 삽입된 광고는 작성자에게 돈을 주고, 그 대상은 광고주가 고른다.

HTTPS는 전달을 증명할 뿐, 신원을 증명하지 않는다

자물쇠는 바이트가 도달한 호스트에서 전송 중 변경 없이 왔다는 것만 말할 뿐, 그 호스트를 누가 운영하는지는 말하지 않는다 — 인증서가 싸고 비슷한 도메인도 자기 이름으로 유효한 인증서를 얻을 수 있기 때문이다. 호스트 이름은 특히 첫 슬래시 앞부분을 글자 하나하나 읽어라. 흥미로운 거짓말은 하위 도메인과 하이픈이 들어간 단어에 산다. vpn-download.example.net의 페이지는 같은 레이아웃이라도 example.com과 다른 게시자다.

인증서 세부 정보는 조금을 더하는데, 조직 검증 인증서는 회사 이름을 밝히지만 도메인 검증만 된 인증서는 아무 이름도 밝히지 않는다. 그래도 이미 신뢰하는 출처에서 주소를 얻는 것보다 약하다. 자물쇠만 확인했다면 배달 차량을 확인한 것이지 보낸 사람을 확인한 것이 아니다.

실행하기 전에 파일을 살펴본다

먼저 파일 형식을 보는 이유는 확장자가 위조하기 가장 싸고 읽기에 가장 유용하기 때문이다. dmg, exe, msi 파일은 설치 프로그램이고, ovpn이나 conf 파일은 프로필이며, 프로필은 연결 시 실행되는 경로, DNS 서버, 스크립트를 담을 수 있다. 프로필을 연결 복구라고 부르며 제공하는 페이지는 그 존재만이 아니라 내용까지 신뢰하라고 요구한다. 제공된 형식을 공급업체가 해당 플랫폼에 대해 문서화한 것과 비교한다.

다음으로 확인할 것은 게시자로, Windows에서는 서명, macOS에서는 공증과 팀 식별자, Linux에서는 저장소와 패키지 이름이다. 올바른 로고가 있는 페이지에서 온 서명 없는 설치 프로그램은 여전히 서명이 없고, 디자인의 품질이 그 사실을 바꾸지 않는다. 서명이 없거나 게시자 이름이 예상과 다르면 첫 번째 확인창 전에 멈춘다.

설치 확인창도 지켜본다. VPN 클라이언트는 터널을 열기 위해 새 루트 인증서가 필요 없고, 연결을 위해 광범위한 디스크 접근도 필요 없다.

이미 설치했다면 되돌린다

한 운영자가 두 페이지를 모두 운영할 수 있으므로, 비교를 위해 두 번째 알 수 없는 사이트에서 내려받는 것은 첫 번째를 검증하지 못한다. 유용한 비교는 공급업체가 문서화한 페이지, 패키지 저장소, 광고 없이 도달한 스토어 목록처럼 독립적으로 얻은 주소와의 비교뿐이다. 그 기준으로 지금 가진 것이 진짜 클라이언트인지 이름만 걸친 것인지 판단한다.

설치 프로그램이 실행되었다면 설치된 응용 프로그램, 추가된 프로필, 새 인증서, 부여된 권한 등 무엇을 바꿨는지 살핀다. 출처를 설명할 수 없는 것은 제거한다. 자격 증명이나 VPN 프로필을 입력했다면 노출된 것으로 보고, 요구한 페이지가 아니라 서비스 자체에서 변경한다.

그다음 그 페이지를 공급업체와 브라우저 또는 검색 제공자에게 신고한다. Mozilla의 피싱 보호 설명에는 브라우저가 스스로 잡을 수 있는 것과 없는 것이 적혀 있다.

일 분이면 되는 세 가지 질문 점검

버튼은 실제로 어디를 가리키며, 그 호스트가 공급업체가 문서화한 곳인가? 파일은 무엇이며, 공급업체가 이 플랫폼용으로 그 형식을 배포하는가? 설치 프로그램은 무엇을 요구하며, 공급업체 문서도 같은 것을 요구하는가? 세 가지 답, 일 분, 그리고 어떤 불일치든 조심스럽게 계속할 이유가 아니라 멈출 이유다.

문서화된 다운로드 페이지를 한 번 북마크해 경로를 짧게 유지하면, 다음번에는 다섯 개의 스폰서 결과 중에서 고르지 않아도 된다. 습관은 지루하지만, 가장 부주의한 순간에서 결정을 떼어낸다.