آیا Wi-Fi عمومی امن است؟ خطرهای واقعی امروز و راه‌های محافظت

آیا استفاده از Wi-Fi عمومی امن است؟

برای بیشتر کاربردهای روزمره، بله. کمیسیون تجارت فدرال آمریکا (FTC) می‌گوید Wi-Fi عمومی پیش‌تر پرخطر بود، زیرا بیشتر وب‌سایت‌ها داده‌ها را رمزگذاری نمی‌کردند و مهاجمانی که در همان شبکه بودند می‌توانستند آن‌ها را رهگیری کنند؛ اکنون که بیشتر وب‌سایت‌ها از رمزگذاری استفاده می‌کنند، اتصال از طریق شبکه Wi-Fi عمومی معمولاً امن است ^[1]. رمزگذاری داده‌های میان دستگاه شما و وب‌سایت را به‌هم می‌ریزد تا دیگران در شبکه نتوانند آن‌ها را بخوانند.

بنیاد مرز الکترونیک (EFF)، یک گروه مدافع حقوق دیجیتال، به همین نتیجه می‌رسد: پیش‌تر استفاده از VPN در Wi-Fi عمومی کافه‌ها یا فرودگاه‌ها توصیه‌ای استاندارد بود، اما اکنون برای همه به آن اندازه ضروری نیست، زیرا بیشتر ترافیک وب اکنون با HTTPS رمزگذاری می‌شود ^[2].

FTC می‌گوید برای بررسی اتصال در مرورگر، به دنبال نماد قفل یا «https» در سمت چپ نشانی وب‌سایت باشید؛ در مرورگرهای موبایل نیز همین‌طور ^[1]. بررسی برنامه‌ها دشوارتر است، اما FTC می‌گوید بیشتر آن‌ها از رمزگذاری استفاده می‌کنند ^[1].

پس چه چیزی همچنان پرخطر است؟

رمزگذاری از داده‌ها در حین انتقال محافظت می‌کند، نه از قضاوت شما. خطرهای باقی‌مانده عبارت‌اند از شبکه‌های جعلی، اطلاعاتی که رمزگذاری پنهانشان نمی‌کند، دستگاه‌هایی که فایل به اشتراک می‌گذارند یا به‌روز نیستند، و وب‌سایت‌های جعلی‌ای که آن‌ها نیز از رمزگذاری استفاده می‌کنند ^[1][2][3]. بخش‌های زیر هر یک را توضیح می‌دهند.

دیگران در شبکه Wi-Fi عمومی چه چیزهایی را می‌توانند ببینند؟

HTTPS از محتوای ارتباطات محافظت می‌کند، نه از فراداده‌ها ^[2]. به گفته EFF، هنگامی که از سایت‌های HTTPS بازدید می‌کنید، طرف‌هایی که در مسیر قرار دارند معمولاً می‌توانند نام دامنه‌ها، برای نمونه wikipedia.org، و زمان بازدید شما از آن‌ها و نیز حجم صفحه‌ها و فایل‌هایی را که بارگذاری یا ارسال می‌کنید ببینند ^[2]. آن‌ها نمی‌توانند صفحه‌های مشخص آن سایت‌ها، نام کاربری یا پیام‌هایی را که می‌فرستید ببینند ^[2].

در Wi-Fi عمومی، افرادی که در محدوده شبکه هستند ممکن است تصمیم بگیرند شنود کنند و همان فراداده‌ها را ببینند؛ درست همان‌طور که ارائه‌دهنده اینترنت شما در خانه می‌تواند ببیند ^[2]. دیدگاه EFF این است که اگر این خطر برایتان پذیرفتنی است، نباید نگران استفاده از Wi-Fi عمومی باشید ^[2].

گرداننده شبکه ممکن است نشانی سخت‌افزاری دستگاه شما را نیز ببیند که نشانی MAC (Media Access Control) نامیده می‌شود. Apple توضیح می‌دهد که دستگاهی که همیشه از یک نشانی MAC ثابت برای Wi-Fi استفاده می‌کند، به گردانندگان شبکه و ناظران امکان می‌دهد آن نشانی را در طول زمان به فعالیت و موقعیت دستگاه پیوند دهند ^[8]. به همین دلیل دستگاه‌های Apple در هر شبکه از یک نشانی خصوصی Wi-Fi متفاوت استفاده می‌کنند و ممکن است آن را به‌طور دوره‌ای تغییر دهند ^[8]، و Android 10 و نسخه‌های بعدی به‌طور پیش‌فرض از نشانی MAC تصادفی استفاده می‌کنند ^[9].

حمله «دوقلوی شرور» در Wi-Fi چیست؟

در حمله «دوقلوی شرور» (evil twin)، که آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) شرح داده است، مهاجم اطلاعاتی درباره یک نقطه دسترسی عمومی جمع‌آوری می‌کند و سامانه خود را طوری راه‌اندازی می‌کند که خود را جای آن جا بزند؛ او از سیگنالی قوی‌تر استفاده می‌کند تا کاربرانِ بی‌خبر به نقطه دسترسی جعلی وصل شوند ^[3]. چون ترافیک اینترنت قربانی از سامانه مهاجم عبور می‌کند، مهاجم می‌تواند با ابزارهای تخصصی داده‌هایی را که قربانی می‌فرستد بخواند؛ داده‌هایی که ممکن است شامل شماره کارت، نام کاربری و گذرواژه باشد ^[3].

توصیه CISA این است که پیش از استفاده از هات‌اسپات عمومی، همیشه نام و گذرواژه آن را تأیید کنید تا به نقطه دسترسی قابل‌اعتمادی وصل شوید ^[3]. HTTPS همچنان آنچه را دوقلوی شرور می‌تواند در سایت‌هایی که به‌درستی رمزگذاری شده‌اند بخواند محدود می‌کند ^[1][2]. خطر باقی‌مانده هدایت شدن به یک سایت جعلی است و FTC هشدار می‌دهد که کلاه‌برداران وب‌سایت‌های جعلی می‌سازند و آن‌ها را رمزگذاری می‌کنند تا امن به نظر برسند: داده‌های شما ممکن است در مسیر رمزگذاری‌شده باشند، اما از دست کلاه‌بردارانی که سایت را اداره می‌کنند در امان نخواهند بود ^[1].

آیا کسی در همان شبکه می‌تواند ترافیک مرا تغییر مسیر دهد؟

بله، در برخی موارد. روش TunnelVision در سال ۲۰۲۴ (CVE-2024-3661) نشان داد که مهاجمی که در همان شبکه محلی است می‌تواند با استفاده از قابلیتی در DHCP، یعنی پروتکلی که تنظیمات شبکه را توزیع می‌کند، ترافیکی را که انتظار می‌رفت VPN از آن محافظت کند بخواند، مختل کند یا احتمالاً تغییر دهد ^[7]. پژوهشگرانی که آن را یافتند نتیجه گرفتند که VPNها برای مقابله با حملات در شبکه محلی فیزیکی طراحی نشده‌اند ^[10].

آیا شبکه‌های باز از شبکه‌های دارای گذرواژه پرخطرترند؟

CISA یادآوری می‌کند که بسیاری از نقاط دسترسی عمومی ایمن نیستند و ترافیکی که از آن‌ها عبور می‌کند رمزگذاری نمی‌شود؛ بنابراین داده‌هایی که «به‌صورت آشکار» فرستاده می‌شوند ممکن است با ابزارهای شنود (sniffing) ضبط شوند؛ این آژانس توصیه می‌کند از نقاط دسترسی‌ای استفاده کنید که دست‌کم رمزگذاری WPA2 دارند ^[3]. WPA2 و WPA3 پروتکل‌های امنیتی Wi-Fi هستند که ترافیک میان دستگاه شما و نقطه دسترسی را رمزگذاری می‌کنند ^[3].

گذرواژه مشترکی که روی دیوار کافه نوشته شده، شبکه را خصوصی نمی‌کند، زیرا هر کسی که آن را بداند می‌تواند وصل شود؛ استانداردهای جدیدتر Wi-Fi بخشی از این خطر را برطرف می‌کنند. اتحادیه Wi-Fi (Wi-Fi Alliance)، نهاد صنعتی‌ای که محصولات Wi-Fi را گواهی می‌کند، می‌گوید WPA3 برای دستگاه‌های Wi-Fi CERTIFIED الزامی است و به کاربران WPA3-Personal محافظت بیشتری در برابر حدس زدن گذرواژه می‌دهد ^[4]. این اتحادیه همچنین Wi-Fi Enhanced Open را ارائه می‌دهد که در شبکه‌های باز رمزگذاری داده بدون احراز هویت فراهم می‌کند، نسبت به شبکه‌های باز سنتی که هیچ محافظتی ندارند پیشرفت به شمار می‌آید و طوری طراحی شده که با شبکه‌های قدیمی، حتی آن‌هایی که از پورتال ورود (captive portal؛ صفحه ورودی که بسیاری از هات‌اسپات‌ها نمایش می‌دهند) استفاده می‌کنند، سازگار باشد ^[4].

رمزگذاری Wi-Fi لایه اضافی سودمندی است، اما آنچه از داده‌های شما تا رسیدن به سایت محافظت می‌کند، رمزگذاری HTTPS خود وب‌سایت‌هاست ^[1][6].

آیا خود Wi-Fi ممکن است هک شود؟

بله، و تاریخچه آن نشان می‌دهد که چرا به‌روزرسانی‌ها اهمیت دارند. در سال ۲۰۱۷، پژوهشگری به نام Mathy Vanhoef حمله KRACK (حملات نصب دوباره کلید) را افشا کرد؛ ضعف‌هایی جدی در WPA2 که به مهاجمِ در محدوده امکان می‌داد اطلاعاتی را که گمان می‌رفت به‌طور امن رمزگذاری شده‌اند بخواند و، بسته به پیکربندی، داده تزریق کند ^[5]. برای جلوگیری از این حمله، کاربران باید محصولات آسیب‌پذیر را به محض در دسترس قرار گرفتن به‌روزرسانی‌های امنیتی به‌روز می‌کردند ^[5].

در مه ۲۰۲۱، Vanhoef مجموعه آسیب‌پذیری‌های FragAttacks را افشا کرد که همه پروتکل‌های امنیتی مدرن Wi-Fi، از جمله WPA3، و حتی WEP اولیه را تحت تأثیر قرار می‌داد ^[6]. سه مورد از آن‌ها نقص‌های طراحی در استاندارد Wi-Fi بودند، اما سوءاستفاده از آن‌ها دشوار بود، زیرا به تعامل کاربر یا تنظیمات غیرمعمول نیاز داشتند؛ چند خطای برنامه‌نویسی در محصولات Wi-Fi نگرانی بزرگ‌تری بودند، زیرا سوءاستفاده از برخی از آن‌ها بسیار ساده بود ^[6]. به‌روزرسانی‌ها در یک دوره افشای هماهنگ ۹ ماهه، زیر نظر Wi-Fi Alliance و ICASI، آماده شدند ^[6].

Vanhoef یادآوری کرد که هنگامی که وب‌سایتی از HSTS، یعنی تنظیمی که استفاده از HTTPS را اجباری می‌کند، استفاده می‌کند، داده‌های ارسالی را نمی‌توان از طریق این نقص‌ها دزدید، و برنامه‌های موبایل جدید به‌طور پیش‌فرض از HTTPS استفاده می‌کنند ^[6]. به بیان دیگر، رمزگذاری چندلایه دلیل آن است که یک نقص در Wi-Fi به‌طور خودکار همه چیز را آشکار نمی‌کند.

چگونه در Wi-Fi عمومی ایمن بمانیم؟

1. نام شبکه را تأیید کنید. پیش از اتصال، نام دقیق هات‌اسپات و گذرواژه آن را از کارکنان بپرسید تا گرفتار دوقلوی شرور نشوید ^[3].
2. HTTPS را بررسی کنید. پیش از وارد کردن هر اطلاعات حساسی، به دنبال نماد قفل یا «https» باشید ^[1].
3. اشتراک‌گذاری فایل را خاموش کنید. CISA می‌گوید شبکه عمومی ناامن همراه با اشتراک‌گذاری فایل ممکن است به کاربری مخرب امکان دهد به فایل‌هایی که اشتباهی به اشتراک گذاشته‌اید دسترسی پیدا کند؛ اشتراک‌گذاری را فقط در شبکه‌های خانگی شناخته‌شده مجاز کنید ^[3].
4. نرم‌افزارها را به‌روز نگه دارید. نرم‌افزار امنیتی، سیستم‌عامل و مرورگر را به‌روز کنید و به‌روزرسانی خودکار را روی گوشی خود روشن کنید ^[1].
5. از گذرواژه‌های قوی و احراز هویت دومرحله‌ای استفاده کنید. FTC هر دو را توصیه می‌کند تا گذرواژه دزدیده‌شده به‌تنهایی کافی نباشد ^[1].
6. نشانی‌های خصوصی Wi-Fi را روشن نگه دارید. Apple توصیه می‌کند نشانی خصوصی را برای همه شبکه‌هایی که از آن پشتیبانی می‌کنند فعال نگه دارید ^[8].
7. به اطراف خود توجه کنید. CISA هشدار می‌دهد که دیگران ممکن است به‌سادگی هنگام تایپ از روی شانه شما نگاه کنند ^[3].

آیا در Wi-Fi عمومی به VPN نیاز دارید؟

نه لزوماً. EFF می‌گوید VPN‌ای که به‌درستی پیکربندی شده باشد می‌تواند از ترافیک رمزگذاری‌نشده محافظت کند و فراداده‌های شما را از کسی که در شبکه محلی شنود می‌کند پنهان کند، اما در آن صورت خود ارائه‌دهنده VPN همه آن‌ها را خواهد دید ^[2]. این بنیاد می‌گوید VPN ممکن است زمانی سودمند باشد که ناچارید از یک شبکه عمومی غیرقابل‌اعتماد استفاده کنید که نمی‌دانید چه کسی آن را اداره می‌کند، و VPN‌ای دارید که به آن اعتماد دارید ^[2].

• مزیت: پنهان کردن سایت‌هایی که بازدید می‌کنید از افرادی که در همان Wi-Fi هستند ^[2].
• هزینه: انتقال این دید به شرکت VPN که ممکن است، اگر سیاستش اجازه دهد، داده‌ها را ثبت کند یا بفروشد ^[2].
• محدودیت: VPN قدیمی و به‌روزنشده ممکن است به‌خوبی از شما محافظت نکند؛ EFF، TunnelVision را نمونه‌ای از این مورد می‌داند ^[2] و در آزمون‌ها، VPN در حالی که ترافیک نشت می‌کرد همچنان وضعیت «متصل» را گزارش می‌داد ^[10].

مشکلات عملی نیز وجود دارد: مرکز ملی امنیت سایبری بریتانیا یادآوری می‌کند که برخی شبکه‌های شخص ثالث ترافیک VPN مبتنی بر IPsec را محدود یا مسدود می‌کنند و اجبار عبور همه ترافیک از VPN ممکن است با پورتال‌های ورود در Wi-Fi عمومی تداخل داشته باشد ^[11]. گزینه دیگر، به‌عنوان یک احتیاط کلی، استفاده از اینترنت همراه گوشی خودتان است هنگامی که به یک هات‌اسپات اعتماد ندارید، زیرا از اشتراک یک شبکه محلی با افراد ناشناس جلوگیری می‌کند.