Como proteger seus dados em uma rede Wi-Fi pública hoje

Dicas de segurança para Wi-Fi público costumam ser copiadas de artigos de dez anos atrás, em que cada cafeteria tinha um hacker com um sniffer lendo e-mails alheios. Desde então a web migrou para criptografia quase total, e o velho modelo de ameaças morreu em silêncio. O novo é menos espetacular, mas bem real. Vamos ver o que é perigoso hoje em redes alheias, o que já não é apesar das histórias e quais hábitos fecham os riscos restantes.

O que o HTTPS fechou

Quase toda a web moderna é criptografada entre navegador e site: o cadeado na barra de endereços significa que conteúdo, senhas e formulários não são lidos pelo caminho, nem pelo dono do Wi-Fi nem pelos vizinhos de rede. Por isso o clássico "roubam sua senha na cafeteria" já não funciona em um site real com criptografia. Os navegadores também avisam ao inserir dados nas raras páginas sem criptografia: em rede alheia, leia esse aviso como uma ordem de parar, seja o que for que apareça na tela.

O que continua perigoso

• Pontos falsos. Qualquer um pode subir uma rede com o nome de uma cafeteria ou aeroporto: os aparelhos se conectam sozinhos a nomes conhecidos. O dono desse ponto não lê HTTPS, mas vê quais domínios você visita e pode empurrar portais falsos e páginas falsas para requisições sem criptografia.
• Portais de acesso. Uma página de "digite seu telefone para acessar" já coleta dados por si só, e uma falsa pede também senhas "do Wi-Fi da sua operadora". Um portal que pede senha de e-mail ou rede social é um ataque, porque portais reais não precisam dessas senhas.
• Metadados. Mesmo com o conteúdo totalmente criptografado, a rede vê os nomes dos domínios visitados e os volumes: um perfil de interesses se forma sem ler o tráfego.
• Vizinhos na rede local. Uma rede aberta torna seu aparelho visível para os demais: velhas falhas do sistema e o compartilhamento de arquivos ativado ficam ao alcance de todos os clientes da cafeteria.
• Conexão automática. Um celular que lembra uma rede FreeWiFi se conecta a qualquer rede com esse nome em qualquer lugar do mundo, inclusive uma falsa.

Um conjunto de hábitos

A principal ferramenta da lista é o túnel. Ele empacota todo o tráfego até o servidor dele, e à rede alheia resta ver um único fluxo criptografado, sem domínios nem detalhes, como vimos no artigo sobre o funcionamento da VPN. Ligar no celular leva minutos, com o passo a passo no guia para smartphones. O proxy serve nesse papel com ressalva: ele muda o endereço, mas não criptografa o canal por si só, e sua força está em outras tarefas.

Notebook e celular: perfis de risco diferentes

O celular em rede alheia é mais protegido do que parece: os sistemas isolam os apps com rigor e os bancos criptografam seu tráfego além de qualquer canal. O ponto fraco são os hábitos: conexão automática a nomes conhecidos e portais. O notebook é mais vulnerável como aparelho: pastas compartilhadas, serviços antigos, acessos de trabalho. Daí o comportamento diferente: ao celular bastam o túnel e proibir a conexão automática; ao notebook vale somar o modo de rede pública e a disciplina de atualizações. Um notebook de trabalho com acessos da empresa não deve ficar em cafeteria sem VPN corporativa: aí já valem as regras de segurança do empregador, além da higiene pessoal.

Uma dica à parte para viagens frequentes: compartilhar a internet do próprio celular quase sempre é mais seguro que uma rede pública. O canal celular mais seu ponto pessoal tiram da equação os pontos falsos e os vizinhos, e uma noite de trabalho gasta pouco tráfego.

Uma verificação de dois minutos

Conectou a uma rede alheia, gaste dois minutos. Abra a página de detecção de endereço: de quem é o endereço que a internet vê, da rede ou do seu túnel. Veja a verificação de anonimato: vazamentos de WebRTC e DNS aparecem lá na hora, e são eles que revelam a conexão real sob o túnel. Se usa notebook com pastas compartilhadas, confira se o sistema marcou a rede como pública: é um único botão que fecha o aparelho para os vizinhos.

O que não precisa temer

Para equilibrar: nem toda rede aberta é armadilha. Apps de banco protegem pagamentos com criptografia própria sobre qualquer Wi-Fi, sites HTTPS não entregam senhas aos vizinhos, e o "vazaram dados pelo Wi-Fi" das notícias quase sempre é phishing ou vazamento de servidor, sem relação com nenhuma cafeteria. Um modelo sensato: rede alheia é rua, não casa. Na rua se anda tranquilo com a bolsa fechada: túnel, atualizações em dia, desconfiança de portais. Isso basta para qualquer viagem e qualquer cafeteria, e a paranoia a mais gasta nervos sem somar proteção.