Безопасен ли публичный Wi-Fi? Реальные риски сегодня и как защититься

Безопасно ли пользоваться публичным Wi-Fi?

Для большинства повседневных задач — да. Федеральная торговая комиссия США (FTC) отмечает, что раньше публичный Wi-Fi был рискованным, поскольку большинство сайтов не шифровали данные и злоумышленники в той же сети могли их перехватить; теперь, когда большинство сайтов использует шифрование, подключение через публичную сеть Wi-Fi обычно безопасно ^[1]. Шифрование превращает данные, передаваемые между вашим устройством и сайтом, в нечитаемый вид, так что другие пользователи сети не могут их прочитать.

К тому же выводу приходит Electronic Frontier Foundation (EFF), организация по защите цифровых прав: раньше стандартным советом было использовать VPN в публичных сетях Wi-Fi в кафе или аэропортах, но теперь это уже не так необходимо для всех, поскольку большая часть веб-трафика шифруется с помощью HTTPS ^[2].

Чтобы проверить подключение в браузере, FTC советует найти значок замка или «https» слева от адреса сайта, в том числе в мобильных браузерах ^[1]. Проверить приложения сложнее, но, по данным FTC, большинство из них использует шифрование ^[1].

Так что же остаётся рискованным?

Шифрование защищает данные при передаче, но не заменяет здравого смысла. Остаются следующие риски: поддельные сети, информация, которую шифрование не скрывает, устройства с открытым общим доступом к файлам или устаревшим ПО, а также поддельные сайты, тоже использующие шифрование ^[1][2][3]. Каждый из них разобран ниже.

Что могут видеть другие в публичной сети Wi-Fi?

HTTPS защищает содержимое передаваемых данных, но не метаданные ^[2]. По данным EFF, когда вы посещаете сайты с HTTPS, участники на пути передачи обычно видят доменные имена, например wikipedia.org, и время их посещения, а также размеры загружаемых или отправляемых страниц и файлов ^[2]. Они не видят конкретные страницы этих сайтов, ваш логин или отправляемые сообщения ^[2].

В публичной сети Wi-Fi люди в зоне её действия могут при желании прослушивать её и видеть те же метаданные — так же, как дома это может делать ваш интернет-провайдер ^[2]. EFF считает, что если такой риск для вас приемлем, то беспокоиться об использовании публичного Wi-Fi не стоит ^[2].

Оператор сети может также видеть аппаратный адрес вашего устройства, так называемый MAC-адрес (Media Access Control). Apple поясняет, что если устройство всегда использует один и тот же MAC-адрес Wi-Fi, операторы сетей и сторонние наблюдатели могут со временем связать этот адрес с активностью и местоположением устройства ^[8]. Поэтому устройства Apple используют в каждой сети отдельный частный адрес Wi-Fi и могут периодически его менять ^[8], а Android 10 и новее по умолчанию используют случайный MAC-адрес ^[9].

Что такое атака «злой двойник» (evil twin)?

При атаке «злой двойник», описанной Агентством по кибербезопасности и защите инфраструктуры США (CISA), злоумышленник собирает информацию о публичной точке доступа и настраивает собственную систему, выдающую себя за неё, с более сильным сигналом, чтобы ничего не подозревающие пользователи подключались к подделке ^[3]. Поскольку интернет-трафик жертвы проходит через систему злоумышленника, тот может с помощью специальных инструментов читать отправляемые жертвой данные, в том числе номера карт, имена пользователей и пароли ^[3].

CISA советует всегда уточнять название и пароль публичной точки доступа перед подключением, чтобы подключаться к доверенной точке ^[3]. HTTPS по-прежнему ограничивает то, что «злой двойник» может прочитать на сайтах с правильно настроенным шифрованием ^[1][2]. Остаётся опасность оказаться перенаправленным на поддельный сайт, и FTC предупреждает, что мошенники создают поддельные сайты и шифруют их, чтобы те выглядели безопасными: ваши данные могут быть зашифрованы при передаче, но от мошенников, управляющих сайтом, они защищены не будут ^[1].

Может ли кто-то в той же сети перенаправить мой трафик?

Да, в некоторых случаях. Методика TunnelVision (CVE-2024-3661), описанная в 2024 году, показала, что злоумышленник в той же локальной сети может использовать функцию DHCP — протокола, раздающего сетевые настройки, — чтобы читать, нарушать или, возможно, изменять трафик, который должен был быть защищён VPN ^[7]. Обнаружившие её исследователи пришли к выводу, что VPN не предназначены для защиты от атак в физической локальной сети ^[10].

Рискованнее ли открытые сети, чем защищённые паролем?

CISA отмечает, что многие публичные точки доступа не защищены и передаваемый через них трафик не шифруется, поэтому данные, отправляемые «открытым текстом», можно перехватить с помощью снифферов; агентство советует пользоваться точками доступа с шифрованием не ниже WPA2 ^[3]. WPA2 и WPA3 — протоколы безопасности Wi-Fi, шифрующие трафик между вашим устройством и точкой доступа ^[3].

Общий пароль, написанный на стене кафе, не делает сеть частной, поскольку подключиться может любой, кто его знает; новые стандарты Wi-Fi частично решают эту проблему. Wi-Fi Alliance, отраслевая организация, сертифицирующая продукты Wi-Fi, сообщает, что WPA3 обязателен для устройств Wi-Fi CERTIFIED и обеспечивает пользователям WPA3-Personal усиленную защиту от подбора пароля ^[4]. Альянс также предлагает Wi-Fi Enhanced Open — шифрование данных без аутентификации в открытых сетях, что лучше традиционных открытых сетей вовсе без защиты; эта технология рассчитана на совместимость с устаревшими сетями, даже с теми, что используют captive portal (страницу входа, которую показывают многие точки доступа) ^[4].

Шифрование Wi-Fi — полезный дополнительный уровень, но защищает ваши данные на всём пути до сайта именно собственное HTTPS-шифрование сайтов ^[1][6].

Можно ли взломать сам Wi-Fi?

Да, и история показывает, почему так важны обновления. В 2017 году исследователь Мати Ванхуф (Mathy Vanhoef) раскрыл KRACK (атаки с переустановкой ключа) — серьёзные уязвимости в WPA2, позволявшие злоумышленнику в зоне действия сети читать информацию, считавшуюся надёжно зашифрованной, а в зависимости от конфигурации — и внедрять данные ^[5]. Чтобы предотвратить атаку, пользователям нужно было обновить затронутые продукты, как только становились доступны обновления безопасности ^[5].

В мае 2021 года Ванхуф раскрыл FragAttacks — набор уязвимостей, затрагивающих все современные протоколы безопасности Wi-Fi, включая WPA3, и даже исходный WEP ^[6]. Три из них были ошибками проектирования в самом стандарте Wi-Fi, но их было трудно использовать, поскольку для этого требуются действия пользователя или нестандартные настройки; больше беспокойства вызывали ошибки программирования в продуктах Wi-Fi, поскольку некоторые из них было легко эксплуатировать ^[6]. Обновления готовились в ходе 9-месячного скоординированного раскрытия под контролем Wi-Fi Alliance и ICASI ^[6].

Ванхуф отметил, что если сайт использует HSTS — настройку, принудительно включающую HTTPS, — передаваемые данные невозможно похитить через эти уязвимости, а современные мобильные приложения по умолчанию используют HTTPS ^[6]. Иными словами, многоуровневое шифрование — причина того, что уязвимость Wi-Fi не раскрывает автоматически всё подряд.

Как обезопасить себя в публичной сети Wi-Fi?

1. Уточните название сети. Прежде чем подключаться, спросите у персонала точное название точки доступа и пароль, чтобы не попасть на «злого двойника» ^[3].
2. Проверяйте наличие HTTPS. Прежде чем вводить конфиденциальные данные, убедитесь в наличии значка замка или «https» ^[1].
3. Отключите общий доступ к файлам. CISA предупреждает, что незащищённая публичная сеть в сочетании с общим доступом к файлам может позволить злоумышленнику добраться до файлов, открытых вами по ошибке; разрешайте общий доступ только в знакомых домашних сетях ^[3].
4. Своевременно обновляйте ПО. Обновляйте защитное ПО, операционную систему и браузер и включите автоматические обновления на телефоне ^[1].
5. Используйте надёжные пароли и двухфакторную аутентификацию. FTC рекомендует и то и другое, чтобы одного украденного пароля было недостаточно ^[1].
6. Не отключайте частные адреса Wi-Fi. Apple рекомендует держать частные адреса включёнными для всех сетей, которые их поддерживают ^[8].
7. Следите за обстановкой вокруг. CISA предупреждает, что кто-то может просто подсматривать через плечо, пока вы вводите данные ^[3].

Нужен ли VPN в публичной сети Wi-Fi?

Не обязательно. По словам EFF, правильно настроенный VPN может защитить незашифрованный трафик и скрыть ваши метаданные от того, кто прослушивает локальную сеть, но тогда их все будет видеть сам поставщик VPN ^[2]. EFF считает, что VPN может быть полезен, когда приходится пользоваться публичной сетью, которой вы не доверяете и о владельце которой ничего не знаете, а VPN, которому вы доверяете, у вас есть ^[2].

• Плюс: скрывает от пользователей той же сети Wi-Fi, какие сайты вы посещаете ^[2].
• Минус: переносит эту видимость на компанию — поставщика VPN, которая может записывать или продавать данные, если это допускает её политика ^[2].
• Ограничение: устаревший VPN может плохо защищать; EFF приводит в пример TunnelVision ^[2], а в тестах VPN продолжал сообщать о подключении, пока трафик утекал ^[10].

Бывают и практические сложности: Национальный центр кибербезопасности Великобритании отмечает, что некоторые сторонние сети ограничивают или блокируют трафик IPsec VPN, а принудительная маршрутизация всего трафика через VPN может конфликтовать со страницами входа (captive portal) в публичных сетях Wi-Fi ^[11]. Ещё один вариант в качестве общей меры предосторожности — мобильный интернет на собственном телефоне, если вы не доверяете точке доступа: так вы не делите локальную сеть с посторонними.