Бесплатный Wi-Fi сегодня повсюду: в кофейнях, аэропортах, отелях, поездах, библиотеках и торговых центрах. Это удобно, и чаще всего ничего плохого не происходит. Но публичной сетью вы пользуетесь вместе с незнакомыми людьми, а управляют ею те, кого вы не знаете, поэтому стоит выработать несколько простых привычек.
В этом руководстве простыми словами объясняется, в чём реальные риски, что уже вас защищает, и приводится короткий чек-лист, которому можно следовать при каждом подключении.
Чем отличается публичный Wi-Fi
Дома вы управляете роутером, сами задаёте пароль и знаете, кто подключён к сети. В публичном Wi-Fi всё иначе:
- Вы не знаете, кто управляет сетью, насколько тщательно она настроена и как часто обновляется.
- Сетью пользуются все, кто рядом. В плохо настроенной сети другие пользователи могут видеть ваше устройство или пытаться к нему подключиться.
- Многие публичные сети открыты, то есть вообще не требуют пароля. В традиционной открытой сети трафик между вашим устройством и точкой доступа самим Wi-Fi не шифруется.
- Любой может создать сеть с правдоподобным названием, например «Airport_Free_WiFi», и ждать, пока к ней начнут подключаться.
От чего уже защищает HTTPS
Хорошая новость: большинство сайтов и приложений сейчас используют HTTPS, который шифрует соединение между вашим устройством и сайтом. В руководстве EFF (Electronic Frontier Foundation, правозащитная организация в сфере цифровых прав) Surveillance Self-Defense отмечается, что, поскольку бо́льшая часть веб-трафика теперь шифруется с помощью HTTPS, VPN в публичном Wi-Fi нужен не всем так остро, как раньше.
HTTPS защищает содержимое: страницы, которые вы открываете на сайте, то, что вы вводите в формы, ваши сообщения и пароли. Кроме того, сайты могут использовать механизм HTTP Strict Transport Security (HSTS), описанный в RFC 6797, чтобы браузер всегда подключался к ним только по защищённому соединению. Так злоумышленнику сложнее переключить вас на незащищённое.
А вот метаданные HTTPS не скрывает. Как поясняет EFF, участники на пути трафика, как правило, всё равно видят доменные имена сайтов, которые вы посещаете, и время посещения, а также размер страниц и файлов. В публичном Wi-Fi этот «путь» включает оператора сети и, возможно, других пользователей, если сеть плохо настроена.
Реальные риски
Поддельные точки доступа
Самый практический риск — подключиться не к той сети. Поддельная точка доступа с правдоподобным названием позволяет её владельцу видеть ваши метаданные, показывать фальшивые страницы входа или подталкивать вас к загрузке вредоносных файлов. Всегда уточняйте точное название сети у персонала или по официальным табличкам.
Поддельные страницы авторизации
Многие публичные сети перед началом работы показывают страницу входа (captive portal). Злоумышленники могут имитировать такие страницы, чтобы собирать адреса электронной почты, пароли или данные банковских карт. Настоящей странице авторизации в кафе редко нужно что-то кроме согласия с условиями или кода с вашего чека.
Приложения и сервисы без шифрования
Не все приложения одинаково аккуратны. Старые приложения, умные устройства и некоторые внутренние сервисы до сих пор могут передавать данные без шифрования. В общей сети такой трафик может оказаться у посторонних.
Ваше устройство видно другим
Если включены общий доступ к файлам или сетевое обнаружение, другие люди в той же сети могут видеть ваше устройство. Дома это нормально, а в зале ожидания аэропорта — нет.
Подглядывание через плечо
Не все риски технические. Человек, который заглядывает вам через плечо, когда вы вводите пароль или номер карты, — классическая проблема в людных местах.
Новые стандарты защиты Wi-Fi помогают там, где они есть
Сам Wi-Fi становится надёжнее. Wi-Fi Alliance называет WPA3 текущим поколением защиты Wi-Fi, а Wi-Fi Enhanced Open — способом обеспечить шифрование данных без аутентификации в открытых сетях, и это шаг вперёд по сравнению с традиционными открытыми сетями без какой-либо защиты. Поддержка зависит и от сети, и от вашего устройства, поэтому рассчитывать на неё везде пока нельзя.
Чек-лист для публичного Wi-Fi
Перед подключением
- Уточните название сети у персонала или по табличке. Остерегайтесь почти одинаковых названий.
- Обновите устройство и приложения. Среди главных советов NCSC (Национальный центр кибербезопасности Великобритании) — устанавливать свежие обновления системы и приложений, потому что они устраняют уязвимости, на которые рассчитывают злоумышленники.
- Отключите автоматическое подключение к открытым сетям, чтобы телефон незаметно не подключился к сети, у которой просто оказалось распространённое название.
- Отключите общий доступ к файлам и сетевое обнаружение. В Windows выберите сетевой профиль «Общедоступная».
Во время подключения
- Проверяйте HTTPS, прежде чем вводить пароли или платёжные данные. Браузер показывает значок замка или похожий индикатор.
- Настороженно относитесь к страницам входа, которые просят больше, чем нужно, например пароли от других сервисов.
- Не устанавливайте программы и обновления, которые предлагает скачать страница сети.
- Включите двухэтапную проверку для важных аккаунтов. NCSC рекомендует включать двухэтапную проверку (2SV), чтобы одного украденного пароля было недостаточно.
- Используйте для почты надёжный отдельный пароль — это ещё один совет NCSC, ведь через почту можно сбросить пароли от других аккаунтов.
Когда закончили
- Удалите сеть в настройках Wi-Fi, если не собираетесь возвращаться.
- Выйдите из аккаунтов на любом общем или публичном компьютере.
Чем VPN помогает в публичном Wi-Fi
VPN не заменяет описанные выше привычки, но добавляет полезный уровень защиты в сетях, которым вы не доверяете. Со включённым VPN:
- Оператор Wi-Fi и другие пользователи видят только то, что вы подключены к VPN-серверу, но не то, какие сайты вы посещаете.
- Трафик приложений, которые не шифруют данные как следует, защищён на участке между вашим устройством и VPN-сервером.
- Сайты видят IP-адрес VPN-сервера, а не публичный адрес кафе или отеля.
EFF формулирует это так: если вам нужно воспользоваться публичной сетью, которой вы не доверяете, и у вас есть VPN, которому вы доверяете, VPN может оказаться полезен. Обновляйте VPN-приложение так же, как любое другое средство защиты.
Аварийный выключатель (Kill-switch) особенно важен именно в публичном Wi-Fi. Такие сети часто обрываются и переподключаются, а Kill-switch не даёт трафику покинуть устройство без защиты в этот промежуток. На Android VPN-приложения могут использовать системную настройку «Постоянная VPN» (Always-on VPN) вместе с параметром, который не пропускает подключения без VPN; оба пункта находятся в настройках VPN, как описано в справке Android.
VPNRice в публичных сетях
VPNRice создан как раз для таких повседневных ситуаций:
- Подключение в одно касание. Приложение автоматически выбирает сервер из серверов в 39 странах.
- Kill-switch. Доступен в приложениях; на Android он опирается на системную настройку «Постоянная VPN».
- Отсечение рекламы и трекеров. Фильтр рекламы и трекеров в приложениях, если он доступен в вашем тарифе, сокращает число трекеров, которые следуют за вами с сайта на сайт.
- Автоматический выбор протокола. Качество публичного Wi-Fi сильно различается. Если соединение работает плохо, режим Auto может переключиться на другой протокол (на Android и Windows в их числе RiceGuardX на основе TLS).
- Приложения для ваших устройств. Android, iPhone и iPad, Windows и Android TV, а также расширения для Chrome и Firefox, которые направляют трафик браузера через серверы VPNRice. Сами расширения не добавляют шифрования (сайты, открытые по HTTPS, по-прежнему защищены сквозным шифрованием), поэтому в публичном Wi-Fi включайте полноценное приложение VPNRice — оно шифрует весь трафик устройства.
После подключения вы можете убедиться, что трафик идёт через VPNRice, с помощью нашего инструмента Мой IP, который показывает статус «Защищено» или «Открыто», а также пройти тест на утечку WebRTC, чтобы проверить браузер.
Коротко
Публичный Wi-Fi не опасен сам по себе, но он общий и незнакомый. Уточните название сети, обновляйте устройство, полагайтесь на HTTPS, включите двухэтапную проверку и отключите общий доступ. А для сетей, которым вы не доверяете, добавьте VPN, которому доверяете.
Собираетесь в кафе? Скачайте VPNRice и включите его до подключения к сети.