Как защитить данные в общественной сети Wi-Fi сегодня

Советы по безопасности в общественном Wi-Fi часто переписывают из статей десятилетней давности, где в каждом кафе сидел хакер со снифером и читал чужие письма. Веб с тех пор переоделся в практически сплошное шифрование, и старая модель угроз тихо умерла. Новая не так зрелищна, но вполне реальна. Разберём, что сегодня действительно опасно в чужих сетях, что уже не опасно вопреки страшилкам и какие привычки закрывают оставшиеся риски.

Что закрыл HTTPS

Почти весь современный веб шифруется между браузером и сайтом: замок в адресной строке означает, что содержимое страниц, пароли и формы не читаются по пути, в том числе владельцем Wi-Fi и соседями по сети. Поэтому классическое «перехватят пароль в кафе» на живом сайте с шифрованием уже не работает. Браузеры дополнительно предупреждают при вводе данных на редких нешифрованных страницах: такое предупреждение в чужой сети читается как команда «стоп», что бы ни было на экране.

Что осталось опасным

• Поддельные точки. Поднять сеть с именем кафе или аэропорта может кто угодно: устройства сами цепляются к знакомым именам. Владелец такой точки не прочтёт HTTPS, но увидит, какие домены вы посещаете, сможет подсовывать поддельные порталы и поддельные страницы для нешифрованных запросов.
• Порталы авторизации. Страница «введите телефон для доступа» собирает данные сама по себе, а поддельная ещё и пароли «от Wi-Fi вашего оператора». Портал, который просит пароль от почты или соцсети, это атака, настоящим порталам такие пароли не нужны.
• Метаданные. Даже при полном шифровании содержимого сети видны имена посещаемых доменов и объёмы: профиль интересов собирается без чтения трафика.
• Соседи по локальной сети. Открытая сеть делает ваше устройство видимым для остальных: старые уязвимости системы и включённый общий доступ к файлам становятся доступны всем посетителям кафе.
• Автоподключение. Телефон, который помнит сеть FreeWiFi, подключится к любой сети с таким именем в любой точке мира, включая поддельную.

Набор привычек

Главный инструмент списка: туннель. Он упаковывает весь трафик до своего сервера, и чужой сети остаётся видеть один шифрованный поток, без доменов и деталей, как мы разбирали в статье о работе VPN. Включение на телефоне занимает минуты, по шагам это описано в инструкции для смартфонов. Прокси в этой роли подходит с оговоркой: адрес он меняет, но канал сам по себе не шифрует, его сила в других задачах.

Ноутбук и телефон: разные профили риска

Телефон в чужой сети защищён лучше, чем кажется: системы жёстко изолируют приложения, а трафик банков дополнительно шифруется поверх любого канала. Его слабое место привычки: автоподключение к знакомым именам и порталы. Ноутбук уязвимее как устройство: общие папки, старые службы, рабочие доступы. Отсюда разное поведение: телефону достаточно туннеля и запрета автоподключений, ноутбуку к этому же стоит добавить режим общественной сети и дисциплину обновлений. Рабочий ноутбук с доступами компании в кафе вообще не живёт без корпоративного VPN: это уже не личная гигиена, а требование безопасности работодателя.

Отдельный лайфхак для частых поездок: раздача с собственного телефона почти всегда безопаснее общественной сети. Сотовый канал плюс ваша личная точка доступа убирают из уравнения и поддельные точки, и соседей, а лимит трафика на вечер работы расходуется скромно.

Проверка за две минуты

Подключились к чужой сети, потратьте две минуты. Откройте страницу определения адреса: чей адрес видит интернет, сети или вашего туннеля. Загляните в проверку анонимности: утечки WebRTC и DNS видны там сразу, именно они выдают настоящее подключение из-под туннеля. Если пользуетесь ноутбуком с общими папками, убедитесь, что система пометила сеть как общественную: это один переключатель, закрывающий устройство от соседей.

Чего бояться не стоит

Ради баланса: не каждая открытая сеть ловушка. Платежи через банковские приложения защищены собственным шифрованием поверх любого Wi-Fi, HTTPS-сайты не отдают пароли соседям, а «слили данные через Wi-Fi» в новостях почти всегда оказывается фишингом или утечкой с сервера, к кафе отношения не имеющим. Разумная модель такая: чужая сеть это улица, не дом. По улице спокойно ходят с закрытой сумкой: туннель, свежие обновления, недоверие к порталам. Этого достаточно для любой поездки и любого кафе, а паранойя сверх того тратит нервы, не прибавляя защиты.