公共 Wi-Fi 安全：咖啡馆与机场实用指南

免费 Wi-Fi 随处可见：咖啡馆、机场、酒店、火车、图书馆和商场。它很方便，而且大多数时候也不会出什么事。但公共网络是与陌生人共用的，由您不认识的人管理，因此值得养成几个简单的好习惯。

本指南用通俗的语言说明真正的风险是什么、哪些机制已经在保护您，并提供一份每次连接时都可以照着做的简短清单。

公共 Wi-Fi 有什么不同

在家里，路由器由您掌控，密码由您设置，您也清楚谁连着网络。而在公共 Wi-Fi 上，这些都不成立：

您不知道网络由谁运营，也不知道它的配置和更新是否到位。
**您与附近的所有人共用这个网络。**如果网络配置不当，其他用户可能看到您的设备，甚至尝试连接它。
许多公共网络是开放的，也就是完全没有密码。在传统的开放网络上，设备与接入点之间的流量并不会由 Wi-Fi 本身加密。
任何人都可以创建一个名字看起来很可信的网络，比如“Airport_Free_WiFi”，然后等着别人连上来。

HTTPS 已经保护了什么

好消息是，如今大多数网站和应用都使用 HTTPS，它会对您的设备与网站之间的连接进行加密。EFF 的《Surveillance Self-Defense》指南指出，由于现在大部分网页流量已经通过 HTTPS 加密，在公共 Wi-Fi 上使用 VPN 已不像过去那样对每个人都必不可少。

HTTPS 保护的是内容：您在网站上打开的页面、在表单中输入的信息、您的消息和密码。网站还可以使用 RFC 6797 中定义的 HTTP 严格传输安全（HSTS），要求浏览器始终以安全连接访问它们，这样别人就更难把您降级到不安全的连接。

HTTPS 无法隐藏的是元数据。EFF 解释说，传输路径上的各方通常仍能看到您访问的域名和访问时间，以及页面和文件的大小。在公共 Wi-Fi 上，这条“路径”包括网络运营方；如果网络配置不当，还可能包括其他用户。

真正的风险

虚假热点

最现实的风险是连错网络。一个名字可信的虚假热点能让其运营者看到您的元数据、向您展示伪造的登录页面，或者诱导您下载恶意软件。请务必向工作人员或通过官方标识确认准确的网络名称。

虚假认证页面

许多公共网络在您上网前会先弹出一个登录页面。攻击者可以仿冒这类页面，收集电子邮箱、密码或银行卡信息。正规咖啡馆的认证页面通常只需要您同意条款，或输入小票上的验证码，很少会要求更多。

未加密的应用和服务

并非所有应用都足够谨慎。一些老旧应用、智能设备以及部分内部服务仍可能以不加密的方式发送信息。在共享网络上，这些流量可能会被暴露。

您的设备处于可见状态

如果开启了文件共享或网络发现，同一网络上的其他人可能会看到您的设备。在家里这没有问题，但在机场贵宾室就不合适了。

偷窥

并非所有风险都与技术有关。在人多的地方，有人从您身后偷看密码或银行卡号，是一个老生常谈却真实存在的问题。

较新的 Wi-Fi 安全技术有帮助（如果可用）

Wi-Fi 本身也在进步。Wi-Fi 联盟将 WPA3 称为当前一代的 Wi-Fi 安全标准，并介绍了 Wi-Fi Enhanced Open：它能在开放网络上为用户提供无需认证的数据加密，相比完全没有保护的传统开放网络是一项改进。不过，这需要网络和您的设备同时支持，所以目前还不能指望处处可用。

公共 Wi-Fi 安全清单

连接之前

确认网络名称：向工作人员询问，或查看印制的标识。警惕名字几乎一样的网络。
**更新设备和应用。**NCSC 的安全建议之一就是安装最新的系统和应用更新，因为更新会修复攻击者所利用的安全漏洞。
关闭开放网络的自动连接，以免手机悄悄连上一个只是恰好名字常见的网络。
**关闭文件共享和网络发现。**在 Windows 上，请选择“公用”网络配置文件。

连接期间

**输入密码或支付信息前先确认 HTTPS。**浏览器会显示一把锁或类似的标识。
对索取过多信息的登录页面保持警惕，例如要求您输入其他服务的密码。
不要安装网络页面提示您下载的软件或更新。
**为重要账户开启两步验证。**NCSC 建议开启两步验证（2SV），这样仅凭被盗的密码无法登录。
为电子邮箱使用一个高强度、独立的密码，这也是 NCSC 的建议之一，因为邮箱可以用来重置您的其他账户。

使用结束后

如果不会再来，请在 Wi-Fi 设置中忘记该网络。
在任何共享或公共电脑上退出您的账户。

VPN 在公共 Wi-Fi 上的作用

VPN 不能取代上述习惯，但在您不信任的网络上，它能增加一层有用的保护。开启 VPN 后：

Wi-Fi 运营方和其他用户只能看到您连接了一台 VPN 服务器，而看不到您访问了哪些网站。
没有正确加密的应用，在您的设备与 VPN 服务器之间也能得到保护。
网站看到的是 VPN 服务器的 IP 地址，而不是咖啡馆或酒店的公网地址。

EFF 是这样说的：如果您必须使用一个不信任的公共网络，而您手上有一个值得信任的 VPN，那么 VPN 可能会有帮助。请像对待其他安全软件一样，及时更新 VPN 应用。

在公共 Wi-Fi 上，断网保护（kill switch）尤其重要。这类网络经常断开又重连，而断网保护能防止流量在中断的间隙未经保护就离开您的设备。在 Android 上，VPN 应用可以配合系统的“始终开启的 VPN”设置以及“屏蔽未使用 VPN 的所有连接”选项，按照 Android 帮助中心的说明，您可以在 VPN 设置中找到它们。

在公共网络上使用 VPNRice

VPNRice 正是为这类日常场景而设计的：

**一键连接。**应用会从分布在 39 个国家的服务器中自动选择一台。
**断网保护。**各应用均提供；在 Android 上依托 Android 的“始终开启的 VPN”设置实现。
**广告和跟踪器拦截。**应用内的广告和跟踪器拦截（视您的套餐而定）可以减少在不同网站之间追踪您的跟踪器。
**自动选择协议。**公共 Wi-Fi 的质量差异很大。如果某个连接效果不好，Auto 模式可以切换到其他协议（在 Android 和 Windows 上包括基于 TLS 的 RiceGuardX）。
**覆盖您的各种设备。**支持 Android、iPhone 和 iPad、Windows 以及 Android TV，另有 Chrome 和 Firefox 扩展，可让您的浏览器流量经由 VPNRice 服务器转发。扩展本身不额外加密（您通过 HTTPS 打开的网站仍保持端到端加密），因此在公共 Wi-Fi 上请开启完整的 VPNRice 应用，它会加密设备的全部流量。

连接后，您可以用我们的我的 IP 是什么工具确认流量确实经过 VPNRice，它会显示“安全”或“暴露”状态；还可以运行 WebRTC 泄露测试检查您的浏览器。

简要总结

公共 Wi-Fi 本身并不危险，但它是共享的，而且您不了解它的底细。确认网络名称，保持设备更新，依靠 HTTPS，开启两步验证，并关闭共享功能。在不信任的网络上，再加上一个您信任的 VPN。