Як захистити дані в публічній мережі Wi-Fi сьогодні

Поради з безпеки в публічному Wi-Fi часто переписують зі статей десятирічної давності, де в кожному кафе сидів хакер зі снифером і читав чужі листи. Веб відтоді перевдягнувся в практично суцільне шифрування, і стара модель загроз тихо померла. Нова не така видовищна, але цілком реальна. Розберімо, що сьогодні справді небезпечно в чужих мережах, що вже не небезпечно всупереч страшилкам і які звички закривають решту ризиків.

Що закрив HTTPS

Майже весь сучасний веб шифрується між браузером і сайтом: замок в адресному рядку означає, що вміст сторінок, паролі та форми не читаються дорогою, зокрема власником Wi-Fi і сусідами по мережі. Тому класичне «перехоплять пароль у кафе» на живому сайті із шифруванням уже не працює. Браузери додатково попереджають під час введення даних на рідкісних нешифрованих сторінках: таке попередження в чужій мережі читається як команда «стоп», хоч би що було на екрані.

Що лишилося небезпечним

• Підроблені точки. Підняти мережу з іменем кафе чи аеропорту може будь-хто: пристрої самі чіпляються до знайомих імен. Власник такої точки не прочитає HTTPS, але побачить, які домени ви відвідуєте, зможе підсовувати підроблені портали й підроблені сторінки для нешифрованих запитів.
• Портали авторизації. Сторінка «введіть телефон для доступу» збирає дані сама по собі, а підроблена ще й паролі «від Wi-Fi вашого оператора». Портал, який просить пароль від пошти чи соцмережі, це атака, справжнім порталам такі паролі не потрібні.
• Метадані. Навіть за повного шифрування вмісту мережі видно імена відвідуваних доменів та обсяги: профіль інтересів збирається без читання трафіку.
• Сусіди по локальній мережі. Відкрита мережа робить ваш пристрій видимим для решти: старі вразливості системи та ввімкнений спільний доступ до файлів стають доступні всім відвідувачам кафе.
• Автопідключення. Телефон, який памʼятає мережу FreeWiFi, підключиться до будь-якої мережі з таким іменем у будь-якій точці світу, включно з підробленою.

Набір звичок

Головний інструмент списку: тунель. Він пакує весь трафік до свого сервера, і чужій мережі лишається бачити один шифрований потік, без доменів і деталей, як ми розбирали у статті про роботу VPN. Увімкнення на телефоні займає хвилини, покроково це описано в інструкції для смартфонів. Проксі в цій ролі підходить із застереженням: адресу він змінює, але канал сам по собі не шифрує, його сила в інших задачах.

Ноутбук і телефон: різні профілі ризику

Телефон у чужій мережі захищений краще, ніж здається: системи жорстко ізолюють застосунки, а трафік банків додатково шифрується поверх будь-якого каналу. Його слабке місце звички: автопідключення до знайомих імен і портали. Ноутбук вразливіший як пристрій: спільні теки, старі служби, робочі доступи. Звідси різна поведінка: телефону достатньо тунелю й заборони автопідключень, ноутбуку до цього варто додати режим публічної мережі й дисципліну оновлень. Робочий ноутбук із доступами компанії в кафе взагалі не живе без корпоративного VPN: це вже не особиста гігієна, а вимога безпеки роботодавця.

Окремий лайфхак для частих поїздок: роздача з власного телефона майже завжди безпечніша за публічну мережу. Стільниковий канал плюс ваша особиста точка доступу прибирають із рівняння і підроблені точки, і сусідів, а ліміт трафіку на вечір роботи витрачається скромно.

Перевірка за дві хвилини

Підключилися до чужої мережі, витратьте дві хвилини. Відкрийте сторінку визначення адреси: чию адресу бачить інтернет, мережі чи вашого тунелю. Загляньте в перевірку анонімності: витоки WebRTC і DNS видно там одразу, саме вони видають справжнє підключення з-під тунелю. Якщо користуєтеся ноутбуком зі спільними теками, переконайтеся, що система позначила мережу як публічну: це один перемикач, що закриває пристрій від сусідів.

Чого боятися не варто

Заради балансу: не кожна відкрита мережа пастка. Платежі через банківські застосунки захищені власним шифруванням поверх будь-якого Wi-Fi, HTTPS-сайти не віддають паролі сусідам, а «злили дані через Wi-Fi» у новинах майже завжди виявляється фішингом або витоком із сервера, до кафе стосунку не маючи. Розумна модель така: чужа мережа це вулиця, не дім. Вулицею спокійно ходять із закритою сумкою: тунель, свіжі оновлення, недовіра до порталів. Цього достатньо для будь-якої поїздки й будь-якого кафе, а параноя понад те витрачає нерви, не додаючи захисту.