Jak odróżnić fałszywą stronę pobierania VPN od prawdziwej

Klikasz duży przycisk pobierania, instalator się pobiera, a dopiero potem domena na pasku adresu wygląda źle. Strona miała logo, kolorystykę i link do pomocy skierowany do prawdziwego projektu. Nic z tego nie jest dowodem w sprawie pliku, który właśnie uruchomiłeś. Marka to kopia; cel pobierania to część, która decyduje, co dostajesz.

Sprawdź, dokąd prowadzi przycisk

Najedź kursorem na przycisk albo przytrzymaj go na telefonie i przeczytaj cel zamiast etykiety. Przycisk prowadzący do innego hosta niż strona, na której jesteś, to najsilniejszy pojedynczy sygnał i widać go w sekundę. Jeśli adres to skracacz, przekierowanie afiliacyjne lub ścieżka z wersją, której nie wybrałeś, zatrzymaj się i zdobądź link w niezależnym miejscu. Etykietę pisze ten, kto zbudował stronę; href to jedyne twierdzenie, które musi przetrwać kliknięcie.

Wyniki wyszukiwania dodają drugą warstwę. Reklamy są oznaczone, ale oznaczenie jest małe, a tekst sponsorowany często naśladuje własne sformułowania projektu. Wpisz domenę dostawcy, którą już znasz, albo użyj zakładki i porównaj ją z adresem, na który chciałeś kliknąć. W przypadku oprogramowania do pracy punktem odniesienia jest zatwierdzony kanał dystrybucji, a nie najwyższy wynik.

Poradnik też nie jest stroną pobierania. Reklama osadzona w przewodniku płaci autorowi, a jej cel wybiera reklamodawca.

HTTPS dowodzi dostawy, nie tożsamości

Kłódka mówi, że bajty dotarły z hosta, do którego dotarłeś, bez zmian w drodze. Nie mówi nic o tym, kto tym hostem zarządza, bo certyfikaty są tanie, a podobna domena może mieć ważny certyfikat na własną nazwę. Czytaj nazwę hosta znak po znaku, zwłaszcza część przed pierwszym ukośnikiem, bo ciekawe kłamstwa mieszkają w subdomenach i słowach z myślnikiem. Strona pod vpn-download.example.net to inny wydawca niż example.com, nawet przy identycznym układzie.

Szczegóły certyfikatu dodają niewiele: certyfikat zweryfikowany organizacyjnie podaje nazwę firmy, a zweryfikowany tylko domenowo nie podaje nikogo. To wciąż słabsze niż zdobycie adresu ze źródła, któremu już ufasz. Gdy kłódka jest jedyną rzeczą, którą sprawdziłeś, zweryfikowałeś furgonetkę dostawczą, a nie nadawcę.

Zbadaj plik, zanim go uruchomisz

Najpierw sprawdź typ pliku, bo rozszerzenie jest najtańsze do podrobienia i najbardziej użyteczne do przeczytania. Plik dmg, exe lub msi to instalator; plik ovpn lub conf to profil, a profil może przenosić trasy, serwery DNS i skrypty uruchamiane przy połączeniu. Strona, która oferuje profil, nazywając go naprawą połączenia, prosi cię o zaufanie jego zawartości, nie tylko jego istnieniu. Porównaj oferowany format z tym, co dostawca dokumentuje dla twojej platformy.

Potem sprawdź wydawcę: podpis w Windows, notaryzację i identyfikator zespołu w macOS, repozytorium i nazwę pakietu w Linux. Niepodpisany instalator ze strony z właściwym logo nadal jest niepodpisany, a jakość projektu tego nie zmienia. Jeśli podpisu brakuje albo nazwa wydawcy nie jest tą, której oczekiwałeś, zatrzymaj się przed pierwszym monitem.

Uważaj też na monity instalacji. Klient VPN nie potrzebuje nowego certyfikatu głównego, aby otworzyć tunel, i nie potrzebuje szerokiego dostępu do dysku, aby się połączyć.

Odzyskaj kontrolę, jeśli już go zainstalowałeś

Pobieranie z drugiej nieznanej strony w celu porównania nie potwierdza pierwszej, bo jeden operator może prowadzić obie strony. Jedyne użyteczne porównanie to adres uzyskany niezależnie: udokumentowana strona dostawcy, repozytorium pakietów lub wpis w sklepie, do którego dotarłeś bez reklamy. Użyj tego punktu odniesienia, aby zdecydować, czy to, co masz, jest prawdziwym klientem, czy czymś noszącym jego nazwę.

Jeśli instalator się uruchomił, przejrzyj, co zmienił: zainstalowane aplikacje, dodane profile, nowe certyfikaty i przyznane uprawnienia. Usuń wszystko, czego nie możesz przypisać. Jeśli podano dane logowania lub profil VPN, traktuj je jako ujawnione i zmień je przez samą usługę, a nie przez stronę, która o nie prosiła.

Następnie zgłoś stronę dostawcy oraz przeglądarce lub wyszukiwarce, bo to pomaga następnej osobie, która szuka. Wyjaśnienie ochrony przed phishingiem od Mozilli opisuje, co przeglądarka może, a czego nie może wychwycić sama.

Sprawdzenie w trzech pytaniach w minutę

Dokąd naprawdę wskazuje przycisk i czy ten host to ten, który dokumentuje dostawca? Czym jest plik i czy dostawca dostarcza ten format dla tej platformy? O co prosi instalator i czy dokumentacja dostawcy prosi o to samo? Trzy odpowiedzi, minuta, a każda niezgodność jest powodem, by się zatrzymać, a nie powodem, by ostrożnie kontynuować.

Utrzymaj krótką drogę, raz dodając do zakładek udokumentowaną stronę pobierania, żeby następnym razem nie wybierać między pięcioma sponsorowanymi wynikami. Nawyk jest nudny i usuwa decyzję z momentu, w którym jesteś najmniej uważny.