如今在公共 Wi-Fi 网络中如何保护您的数据:实用习惯指南

公共 Wi-Fi 的安全建议常常抄自十年前的文章,那时每家咖啡馆都坐着一个拿嗅探器读别人邮件的黑客。此后网络几乎全部加密,旧的威胁模型悄然消亡。新模型没那么刺激,但相当真实。我们来看看如今他人网络中什么真正危险,什么已不再危险,以及哪些习惯能应对余下的风险。

HTTPS 解决了什么

几乎整个现代网络都在浏览器和网站之间加密:地址栏的锁表示页面内容、密码和表单在途中不可读,Wi-Fi 所有者和网络邻居也读不到。所以经典的“在咖啡馆被截获密码”对有加密的真实网站已经不起作用。浏览器还会在少数未加密页面输入数据时发出警告:在他人网络中,无论屏幕上显示什么,都把这种警告当作停止命令。

仍然危险的是什么

• 伪造热点。任何人都能开一个以咖啡馆或机场命名的网络:设备会自动连接熟悉的名称。这种热点的所有者读不了 HTTPS,但能看到您访问的域名,并可塞入伪造门户和针对未加密请求的假页面。
• 认证门户。“输入手机号以获取访问”的页面本身就在收集数据,伪造的还会索要“运营商 Wi-Fi”密码。索要邮箱或社交网络密码的门户就是攻击,真正的门户不需要这些密码。
• 元数据。即使内容完全加密,网络仍能看到访问的域名和流量:不读取内容就能拼出兴趣画像。
• 局域网邻居。开放网络使您的设备对其他人可见:系统旧漏洞和已开启的文件共享对咖啡馆所有顾客敞开。
• 自动连接。记住 FreeWiFi 网络的手机,会在世界任何地方连接任何同名网络,包括伪造的。

一组习惯

清单中的主要工具是隧道。它把全部流量打包到自己的服务器,他人网络只能看到一条加密流,没有域名和细节,我们在 VPN 的工作原理一文中分析过。在手机上开启只需几分钟,步骤见智能手机指南。代理在这个角色上有保留地适用:它更换地址,但本身不加密通道,其优势在其他任务。

笔记本和手机:不同的风险画像

手机在他人网络中比看上去更安全:系统严格隔离应用,银行流量在任何通道之上再次加密。它的弱点是习惯:自动连接熟悉的名称和门户。笔记本作为设备更脆弱:共享文件夹、旧服务、工作权限。因此行为也不同:手机有隧道并禁止自动连接就够了,笔记本还要加上公共网络模式和更新纪律。带公司权限的工作笔记本没有企业 VPN 就不该在咖啡馆使用:这时除了个人习惯,还适用雇主的安全规定。

给经常出行者的单独建议:用自己手机开热点几乎总比公共网络安全。蜂窝通道加上您的个人热点,把伪造热点和邻居都排除在外,一晚工作的流量消耗也不大。

两分钟检查

连上他人网络后,花两分钟。打开地址查询页面:互联网看到的是谁的地址,网络的还是您隧道的。再看匿名检测:WebRTC 和 DNS 泄露马上就能看到,暴露隧道下真实连接的正是它们。如果使用带共享文件夹的笔记本,请确认系统把网络标记为公共:只需一个开关,就能对邻居关闭设备。

不必害怕的

平衡地说:并非每个开放网络都是陷阱。银行应用在任何 Wi-Fi 之上用自己的加密保护支付,HTTPS 网站不会把密码交给邻居,新闻里的“通过 Wi-Fi 泄露数据”几乎总是钓鱼或服务器泄露,与咖啡馆无关。合理的模型是:他人网络是街道,不是家。在街上,带好拉上拉链的包安心走就行:隧道、最新更新、不信任门户。这足以应付任何旅行和任何咖啡馆,额外的紧张只耗神,不增加防护。