Как отличить поддельную страницу загрузки VPN от настоящей

Вы нажимаете большую кнопку загрузки, установщик приходит, и только потом домен в адресной строке выглядит неправильно. На странице были логотип, цветовая схема и ссылка на поддержку, ведшая на настоящий проект. Ничто из этого не доказывает ничего о файле, который вы только что запустили. Брендинг — это копия; цель загрузки — та часть, которая решает, что вы получите.

Проверьте, куда ведёт кнопка

Наведите курсор на кнопку или зажмите её на телефоне и прочитайте цель, а не подпись. Кнопка, ведущая на другой хост, чем страница, на которой вы находитесь, — самый сильный одиночный сигнал, и увидеть его можно за секунду. Если адрес — это сокращатель, партнёрский редирект или путь с версией, которую вы не выбирали, остановитесь и возьмите ссылку в независимом месте. Подпись пишет тот, кто построил страницу; href — единственное утверждение, которое должно пережить клик.

Результаты поиска добавляют второй слой. Реклама помечена, но пометка мала, а спонсируемый текст часто повторяет формулировки самого проекта. Введите домен поставщика, который вы уже знаете, или используйте закладку и сравните с адресом, на который собирались нажать. Для рабочего программного обеспечения эталон — одобренный канал распространения, а не верхний результат.

Учебник тоже не страница загрузки. Реклама, встроенная в руководство, платит автору, и её цель выбирает рекламодатель.

HTTPS доказывает доставку, а не личность

Замок говорит, что байты пришли с хоста, до которого вы дошли, и не были изменены в пути. Он ничего не говорит о том, кто управляет этим хостом, потому что сертификаты дешевы и похожий домен может иметь действительный на своё имя. Читайте имя хоста символ за символом, особенно часть до первой косой черты, потому что интересная ложь живёт в поддоменах и словах с дефисом. Страница на vpn-download.example.net — это другой издатель, чем example.com, даже при идентичной вёрстке.

Детали сертификата добавляют немного: сертификат, проверенный организацией, называет компанию, а проверенный только по домену не называет никого. Это всё равно слабее, чем получить адрес из источника, которому вы уже доверяете. Когда замок — единственное, что вы проверили, вы проверили фургон доставки, а не отправителя.

Изучите файл, прежде чем его запускать

Сначала проверьте тип файла, потому что расширение проще всего подделать и полезнее всего прочитать. Файл dmg, exe или msi — это установщик; файл ovpn или conf — это профиль, а профиль может нести маршруты, DNS-серверы и скрипты, которые выполняются при подключении. Страница, которая предлагает профиль, называя его исправлением соединения, просит доверять его содержимому, а не только его существованию. Сравните предложенный формат с тем, что поставщик документирует для вашей платформы.

Затем проверьте издателя: подпись в Windows, нотаризацию и идентификатор команды в macOS, репозиторий и имя пакета в Linux. Неподписанный установщик со страницы с правильным логотипом остаётся неподписанным, и качество дизайна этого факта не меняет. Если подпись отсутствует или имя издателя не то, которого вы ожидали, остановитесь до первого запроса.

Следите и за запросами при установке. Клиенту VPN не нужен новый корневой сертификат, чтобы открыть туннель, и не нужен широкий доступ к диску, чтобы подключиться.

Восстановите, если вы уже установили его

Загрузка со второго неизвестного сайта для сравнения не подтверждает первый, потому что один оператор может вести обе страницы. Единственное полезное сравнение — с адресом, полученным независимо: документированная страница поставщика, репозиторий пакетов или карточка магазина, до которой вы добрались без рекламы. Используйте этот ориентир, чтобы решить, настоящий ли у вас клиент или что-то, носящее его имя.

Если установщик запустился, просмотрите, что он изменил: установленные приложения, добавленные профили, новые сертификаты и выданные разрешения. Удалите всё, что не можете отнести к известному источнику. Если были введены учётные данные или профиль VPN, считайте их раскрытыми и смените их через сам сервис, а не через страницу, которая их запросила.

Затем сообщите о странице поставщику и браузеру или поисковику, потому что это помогает следующему человеку, который ищет. Объяснение защиты Mozilla от фишинга описывает, что браузер может и чего не может поймать сам.

Проверка из трёх вопросов за минуту

Куда на самом деле указывает кнопка и тот ли это хост, который документирует поставщик? Что это за файл и поставляет ли поставщик такой формат для этой платформы? Что запрашивает установщик и просит ли документация поставщика о том же? Три ответа, минута, и любое расхождение — причина остановиться, а не причина продолжать осторожно.

Держите путь коротким: один раз добавьте документированную страницу загрузки в закладки, чтобы в следующий раз не выбирать между пятью спонсируемыми результатами. Привычка скучна, и она убирает решение из момента, когда вы меньше всего внимательны.