איך להגן על הנתונים שלכם היום ברשת Wi-Fi ציבורית בקלות

עצות אבטחה ל-Wi-Fi ציבורי מועתקות לעיתים קרובות ממאמרים בני עשור, שבהם בכל בית קפה ישב האקר עם סניפר וקרא מיילים של אחרים. מאז הרשת עברה להצפנה כמעט מלאה, ומודל האיומים הישן מת בשקט. החדש פחות מרהיב אבל ממשי לגמרי. נראה מה באמת מסוכן היום ברשתות זרות, מה כבר לא מסוכן למרות הסיפורים ואילו הרגלים סוגרים את הסיכונים שנשארו.

מה HTTPS סגר

כמעט כל הרשת המודרנית מוצפנת בין הדפדפן לאתר: המנעול בשורת הכתובת אומר שתוכן הדפים, הסיסמאות והטפסים לא נקראים בדרך, גם לא על ידי בעל ה-Wi-Fi ושכני הרשת. לכן הקלאסיקה «יגנבו לך את הסיסמה בבית הקפה» כבר לא עובדת באתר אמיתי עם הצפנה. דפדפנים גם מזהירים בהזנת נתונים בדפים הנדירים שאינם מוצפנים: ברשת זרה קראו אזהרה כזו כפקודת עצור, לא משנה מה מופיע במסך.

מה נשאר מסוכן

• נקודות מזויפות. כל אחד יכול להרים רשת בשם של בית קפה או שדה תעופה: מכשירים מתחברים לבד לשמות מוכרים. בעל נקודה כזו לא יקרא HTTPS, אבל יראה באילו דומיינים אתם מבקרים ויוכל לדחוף פורטלים מזויפים ודפים מזויפים לבקשות לא מוצפנות.
• פורטלי כניסה. דף «הזינו טלפון לגישה» אוסף נתונים בעצמו, ומזויף מבקש גם סיסמאות «ל-Wi-Fi של המפעיל שלכם». פורטל שמבקש סיסמה של דואר או רשת חברתית הוא מתקפה, לפורטלים אמיתיים לא נחוצות סיסמאות כאלה.
• מטא-נתונים. גם בהצפנה מלאה של התוכן, הרשת רואה את שמות הדומיינים ואת הנפחים: פרופיל עניין נבנה בלי לקרוא את התעבורה.
• שכנים ברשת המקומית. רשת פתוחה הופכת את המכשיר שלכם לגלוי לאחרים: פרצות מערכת ישנות ושיתוף קבצים פעיל נגישים לכל באי בית הקפה.
• התחברות אוטומטית. טלפון שזוכר רשת FreeWiFi יתחבר לכל רשת בשם הזה בכל מקום בעולם, כולל מזויפת.

סט הרגלים

הכלי המרכזי ברשימה הוא המנהרה. היא אורזת את כל התעבורה עד השרת שלה, ולרשת הזרה נשאר לראות זרם מוצפן אחד, בלי דומיינים ופרטים, כפי שהסברנו במאמר על עבודת VPN. הפעלה בטלפון לוקחת דקות, והשלבים במדריך לסמארטפונים. פרוקסי מתאים לתפקיד הזה בהסתייגות: הוא מחליף כתובת אבל לא מצפין את הערוץ בעצמו, והכוח שלו במשימות אחרות.

מחשב נייד וטלפון: פרופילי סיכון שונים

טלפון ברשת זרה מוגן יותר ממה שנדמה: המערכות מבודדות אפליקציות בקפדנות, והבנקים מצפינים את התעבורה שלהם גם מעל כל ערוץ. נקודת התורפה היא ההרגלים: התחברות אוטומטית לשמות מוכרים ופורטלים. מחשב נייד פגיע יותר כמכשיר: תיקיות משותפות, שירותים ישנים, גישות עבודה. מכאן התנהגות שונה: לטלפון מספיקים מנהרה ואיסור התחברות אוטומטית, ולמחשב כדאי להוסיף מצב רשת ציבורית ומשמעת עדכונים. מחשב עבודה עם גישות של החברה לא אמור לשבת בבית קפה בלי VPN ארגוני: שם חלים כללי האבטחה של המעסיק, נוסף על ההיגיינה האישית.

טיפ נפרד לנסיעות תכופות: שיתוף אינטרנט מהטלפון שלכם כמעט תמיד בטוח יותר מרשת ציבורית. ערוץ סלולרי ונקודה אישית מוציאים מהמשוואה גם נקודות מזויפות וגם שכנים, וערב עבודה צורך מעט תעבורה.

בדיקה בשתי דקות

התחברתם לרשת זרה? הקדישו שתי דקות. פתחו את דף איתור הכתובת: את הכתובת של מי האינטרנט רואה, של הרשת או של המנהרה שלכם. הביטו בבדיקת האנונימיות: דליפות WebRTC ו-DNS נראות שם מיד, והן אלה שחושפות את החיבור האמיתי מתחת למנהרה. אם אתם משתמשים במחשב נייד עם תיקיות משותפות, ודאו שהמערכת סימנה את הרשת כציבורית: מתג אחד שסוגר את המכשיר מול השכנים.

ממה לא צריך לפחד

לשם האיזון: לא כל רשת פתוחה היא מלכודת. אפליקציות בנק מגנות על תשלומים בהצפנה משלהן מעל כל Wi-Fi, אתרי HTTPS לא מוסרים סיסמאות לשכנים, ו«הדליפו נתונים דרך Wi-Fi» בחדשות מתגלה כמעט תמיד כפישינג או דליפה משרת, בלי קשר לבית קפה. מודל סביר: רשת זרה היא רחוב, לא בית. ברחוב הולכים בנחת עם תיק סגור: מנהרה, עדכונים טריים, חוסר אמון בפורטלים. זה מספיק לכל נסיעה ולכל בית קפה, ופרנויה מעבר לזה שוחקת עצבים בלי להוסיף הגנה.