Безкоштовний Wi-Fi сьогодні всюди: у кав'ярнях, аеропортах, готелях, поїздах, бібліотеках і торговельних центрах. Це зручно, і здебільшого нічого поганого не стається. Але публічною мережею ви користуєтеся разом із незнайомцями, а керують нею люди, яких ви не знаєте, тож варто виробити кілька простих звичок.
У цьому посібнику простими словами пояснено, які ризики справжні, що вже вас захищає, а також наведено короткий чек-лист, якого можна дотримуватися щоразу під час підключення.
Чим відрізняється публічний Wi-Fi
Удома ви керуєте роутером, самі встановлюєте пароль і знаєте, хто під'єднаний до мережі. У публічному Wi-Fi усе інакше:
- Ви не знаєте, хто керує мережею, наскільки ретельно її налаштовано і як часто вона оновлюється.
- Мережею користуються всі, хто поруч. У погано налаштованій мережі інші користувачі можуть бачити ваш пристрій або намагатися до нього підключитися.
- Багато публічних мереж відкриті, тобто взагалі не потребують пароля. У традиційній відкритій мережі трафік між вашим пристроєм і точкою доступу самим Wi-Fi не шифрується.
- Будь-хто може створити мережу з переконливою назвою, наприклад «Airport_Free_WiFi», і чекати, поки до неї почнуть під'єднуватися.
Від чого вже захищає HTTPS
Добра новина: більшість сайтів і застосунків зараз використовують HTTPS, який шифрує з'єднання між вашим пристроєм і сайтом. У посібнику EFF (Electronic Frontier Foundation, правозахисна організація у сфері цифрових прав) Surveillance Self-Defense зазначено, що оскільки більша частина вебтрафіку тепер шифрується за допомогою HTTPS, VPN у публічному Wi-Fi потрібен не всім так гостро, як раніше.
HTTPS захищає вміст: сторінки, які ви відкриваєте на сайті, те, що ви вводите у форми, ваші повідомлення й паролі. Крім того, сайти можуть використовувати механізм HTTP Strict Transport Security (HSTS), описаний у RFC 6797, щоб браузер завжди під'єднувався до них лише захищеним з'єднанням. Так зловмисникові складніше перемкнути вас на незахищене.
А от метадані HTTPS не приховує. Як пояснює EFF, учасники на шляху трафіку, як правило, однаково бачать доменні імена сайтів, які ви відвідуєте, і час відвідування, а також розмір сторінок і файлів. У публічному Wi-Fi цей «шлях» охоплює оператора мережі й, можливо, інших користувачів, якщо мережу погано налаштовано.
Справжні ризики
Підроблені точки доступу
Найпрактичніший ризик — під'єднатися не до тієї мережі. Підроблена точка доступу з правдоподібною назвою дає змогу її власникові бачити ваші метадані, показувати фальшиві сторінки входу або підштовхувати вас до завантаження шкідливих файлів. Завжди уточнюйте точну назву мережі в персоналу або за офіційними табличками.
Підроблені сторінки авторизації
Багато публічних мереж перед початком роботи показують сторінку входу (captive portal). Зловмисники можуть імітувати такі сторінки, щоб збирати адреси електронної пошти, паролі чи дані банківських карток. Справжній сторінці авторизації в кафе рідко потрібно щось, окрім згоди з умовами або коду з вашого чека.
Застосунки й сервіси без шифрування
Не всі застосунки однаково дбайливі. Старі застосунки, розумні пристрої та деякі внутрішні сервіси досі можуть передавати дані без шифрування. У спільній мережі такий трафік може потрапити до сторонніх.
Ваш пристрій видно іншим
Якщо ввімкнено спільний доступ до файлів або мережеве виявлення, інші люди в тій самій мережі можуть бачити ваш пристрій. Удома це нормально, а в залі очікування аеропорту — ні.
Підглядання через плече
Не всі ризики технічні. Людина, яка зазирає вам через плече, коли ви вводите пароль чи номер картки, — класична проблема в людних місцях.
Новіші стандарти захисту Wi-Fi допомагають там, де вони є
Сам Wi-Fi стає надійнішим. Wi-Fi Alliance називає WPA3 поточним поколінням захисту Wi-Fi, а Wi-Fi Enhanced Open — способом забезпечити шифрування даних без автентифікації у відкритих мережах, і це крок уперед порівняно з традиційними відкритими мережами без жодного захисту. Підтримка залежить і від мережі, і від вашого пристрою, тому розраховувати на неї всюди поки що не можна.
Чек-лист для публічного Wi-Fi
Перед підключенням
- Уточніть назву мережі в персоналу або за табличкою. Остерігайтеся майже однакових назв.
- Оновіть пристрій і застосунки. Серед головних порад NCSC (Національний центр кібербезпеки Великої Британії) — встановлювати свіжі оновлення системи та застосунків, бо вони усувають вразливості, на які розраховують зловмисники.
- Вимкніть автоматичне під'єднання до відкритих мереж, щоб телефон непомітно не підключився до мережі, яка просто має поширену назву.
- Вимкніть спільний доступ до файлів і мережеве виявлення. У Windows виберіть мережевий профіль «Загальнодоступна».
Під час підключення
- Перевіряйте HTTPS, перш ніж вводити паролі чи платіжні дані. Браузер показує значок замка або схожий індикатор.
- Насторожено ставтеся до сторінок входу, які просять більше, ніж потрібно, наприклад паролі від інших сервісів.
- Не встановлюйте програми й оновлення, які пропонує завантажити сторінка мережі.
- Увімкніть двоетапну перевірку для важливих акаунтів. NCSC радить вмикати двоетапну перевірку (2SV), щоб одного викраденого пароля було замало.
- Використовуйте для пошти надійний окремий пароль — це ще одна порада NCSC, адже через пошту можна скинути паролі від інших акаунтів.
Коли закінчили
- Видаліть мережу в налаштуваннях Wi-Fi, якщо не збираєтеся повертатися.
- Вийдіть з акаунтів на будь-якому спільному чи публічному комп'ютері.
Чим VPN допомагає в публічному Wi-Fi
VPN не замінює описаних вище звичок, але додає корисний рівень захисту в мережах, яким ви не довіряєте. З увімкненим VPN:
- Оператор Wi-Fi та інші користувачі бачать лише те, що ви під'єднані до VPN-сервера, але не те, які сайти ви відвідуєте.
- Трафік застосунків, які не шифрують дані належним чином, захищений на ділянці між вашим пристроєм і VPN-сервером.
- Сайти бачать IP-адресу VPN-сервера, а не публічну адресу кафе чи готелю.
EFF формулює це так: якщо вам потрібно скористатися публічною мережею, якій ви не довіряєте, і у вас є VPN, якому ви довіряєте, VPN може стати в пригоді. Оновлюйте VPN-застосунок так само, як будь-який інший засіб захисту.
Аварійний вимикач (Kill-switch) особливо важливий саме в публічному Wi-Fi. Такі мережі часто обриваються й перепідключаються, а Kill-switch не дає трафіку залишити пристрій без захисту в цей проміжок. На Android VPN-застосунки можуть використовувати системне налаштування «Завжди ввімкнена VPN» (Always-on VPN) разом із параметром, який не пропускає з'єднань без VPN; обидва пункти розташовані в налаштуваннях VPN, як описано в довідці Android.
VPNRice у публічних мережах
VPNRice створено саме для таких повсякденних ситуацій:
- Підключення одним дотиком. Застосунок автоматично вибирає сервер із серверів у 39 країнах.
- Kill-switch. Доступний у застосунках; на Android він спирається на системне налаштування «Завжди ввімкнена VPN».
- Відсікання реклами й трекерів. Фільтр реклами й трекерів у застосунках, якщо він доступний у вашому тарифі, зменшує кількість трекерів, які стежать за вами від сайту до сайту.
- Автоматичний вибір протоколу. Якість публічного Wi-Fi дуже різниться. Якщо з'єднання працює погано, режим Auto може перемкнутися на інший протокол (на Android і Windows серед них RiceGuardX на основі TLS).
- Застосунки для ваших пристроїв. Android, iPhone та iPad, Windows і Android TV, а також розширення для Chrome і Firefox, що спрямовують трафік браузера через сервери VPNRice. Самі розширення не додають шифрування (сайти, відкриті через HTTPS, і далі захищені наскрізним шифруванням), тому в публічному Wi-Fi вмикайте повноцінний застосунок VPNRice — він шифрує весь трафік пристрою.
Після підключення ви можете переконатися, що трафік іде через VPNRice, за допомогою нашого інструмента Мій IP, який показує статус «Захищено» або «Відкрито», а також пройти тест на витік WebRTC, щоб перевірити браузер.
Коротко
Публічний Wi-Fi не небезпечний сам собою, але він спільний і незнайомий. Уточніть назву мережі, оновлюйте пристрій, покладайтеся на HTTPS, увімкніть двоетапну перевірку й вимкніть спільний доступ. А для мереж, яким ви не довіряєте, додайте VPN, якому довіряєте.
Збираєтеся до кафе? Завантажте VPNRice і ввімкніть його до під'єднання до мережі.