简而言之
据美国联邦贸易委员会（FTC）介绍，由于如今大多数网站和应用都使用 HTTPS 加密数据，在公共 Wi-Fi 上进行日常浏览通常是安全的 [1]。但真实的风险依然存在：伪造的“邪恶双胞胎”热点 [3]、可见的元数据（例如您访问了哪些网站）[2]、开启的文件共享 [3]，以及同样经过加密的虚假网站 [1]。
要点
- FTC 表示，由于加密的广泛应用，通过公共 Wi-Fi 网络上网通常是安全的 [1]。
- HTTPS 保护的是您发送的内容，但同一网络中的其他人仍能看到域名以及您访问的时间等元数据 [2]。
- “邪恶双胞胎”是冒充真实热点的伪造热点；连接之前，请先向工作人员确认网络名称 [3]。
- 在公共网络上请关闭文件共享，并保持操作系统、浏览器和应用为最新版本 [3][1]。
- KRACK（2017 年）和 FragAttacks（2021 年）等 Wi-Fi 协议缺陷都是通过更新修复的，这正是及时打补丁的重要原因 [5][6]。
- VPN 可以对本地窃听者隐藏元数据，但 VPN 服务商会因此看到全部内容；电子前哨基金会（EFF）表示，在公共 Wi-Fi 上，VPN 已不再是人人必需 [2]。
本页内容 11 个部分
公共 Wi-Fi 可以安全使用吗？
对大多数日常用途来说，可以。美国联邦贸易委员会（FTC）表示，公共 Wi-Fi 过去之所以有风险，是因为大多数网站不加密数据，同一网络中的攻击者可以截获这些数据；如今大多数网站都使用加密，通过公共 Wi-Fi 网络上网通常是安全的 [1]。加密会把您的设备与网站之间传输的数据打乱，使网络中的其他人无法读取。
数字权利组织电子前哨基金会（EFF）得出了同样的结论：过去，在咖啡馆或机场使用公共 Wi-Fi 时使用 VPN 是标准建议，但由于如今大部分网络流量都已通过 HTTPS 加密，这对所有人来说已不再那么必要 [2]。
要在浏览器中检查连接，FTC 建议查看网址左侧是否有小锁图标或“https”字样，手机浏览器也同样适用 [1]。应用的情况较难检查，但 FTC 表示大多数应用都使用加密 [1]。
那么还有哪些风险？
加密保护的是传输中的数据，而不能代替您的判断。仍然存在的风险包括：伪造的网络、加密无法隐藏的信息、开启了文件共享或版本过旧的设备，以及同样使用加密的虚假网站 [1][2][3]。下文将逐一说明。
在公共 Wi-Fi 网络上，别人能看到什么？
HTTPS 保护的是通信内容，而不是元数据 [2]。据 EFF 介绍，当您访问 HTTPS 网站时，传输路径上的各方通常可以看到域名（例如 wikipedia.org）以及您访问的时间，还能看到您加载或发送的页面和文件的大小 [2]。他们看不到您在这些网站上访问的具体页面、您的登录名或您发送的消息 [2]。
在公共 Wi-Fi 上，处于网络覆盖范围内的人可能会选择窃听，并看到同样的元数据，正如在家时您的互联网服务商也能看到这些信息一样 [2]。EFF 的看法是：如果您能接受这种风险，就不必担心使用公共 Wi-Fi [2]。
网络运营者还可能看到您设备的硬件地址，即 MAC（媒体访问控制）地址。苹果解释说，如果设备始终使用同一个 Wi-Fi MAC 地址，网络运营者和观察者就能把这个地址与设备的活动和位置长期关联起来 [8]。因此，苹果设备会在每个网络上使用不同的私有 Wi-Fi 地址，并可能定期更换 [8]；Android 10 及更高版本也默认使用随机 MAC 地址 [9]。
什么是“邪恶双胞胎”Wi-Fi 攻击？
根据美国网络安全和基础设施安全局（CISA）的描述，在“邪恶双胞胎”攻击中，攻击者会收集某个公共接入点的信息，然后架设自己的系统来冒充它，并用更强的广播信号让毫无戒心的用户连接到这个假热点上 [3]。由于受害者的网络流量随后会经过攻击者的系统，攻击者便可以用专门的工具读取受害者发送的数据，其中可能包括银行卡号、用户名和密码 [3]。
CISA 的建议是：使用公共热点之前，务必先确认其名称和密码，确保连接的是可信的接入点 [3]。在正确加密的网站上，HTTPS 仍能限制“邪恶双胞胎”可以读取的内容 [1][2]。剩下的危险在于被引导到虚假网站上。FTC 提醒，骗子会制作虚假网站并对其加密，让它看起来很安全：您的数据在传输途中可能是加密的，但对于运营该网站的骗子来说，这些数据毫无安全可言 [1]。
同一网络中的人能重定向我的流量吗？
在某些情况下可以。2024 年曝光的 TunnelVision 技术（CVE-2024-3661）表明，同一本地网络中的攻击者可以利用 DHCP（负责分发网络设置的协议）的一项功能，读取、干扰甚至可能篡改本应受 VPN 保护的流量 [7]。发现该问题的研究人员得出结论：VPN 本来就不是为抵御针对物理本地网络的攻击而设计的 [10]。
开放网络比有密码保护的网络风险更大吗？
CISA 指出，许多公共接入点没有安全防护，其传输的流量也没有加密，因此以“明文”发送的数据可能被嗅探工具截获；它建议使用至少采用 WPA2 加密的接入点 [3]。WPA2 和 WPA3 是 Wi-Fi 安全协议，用于加密您的设备与接入点之间的流量 [3]。
贴在咖啡馆墙上的共享密码并不能让网络变成私有网络，因为知道密码的每个人都能连入；较新的 Wi-Fi 标准解决了这一风险的一部分。负责认证 Wi-Fi 产品的行业组织 Wi-Fi 联盟（Wi-Fi Alliance）表示，WPA3 对于 Wi-Fi CERTIFIED 设备是强制要求，并为 WPA3-Personal 用户提供了更强的防猜测密码保护 [4]。该联盟还推出了 Wi-Fi Enhanced Open，可在开放网络上提供无需认证的数据加密，比完全没有保护的传统开放网络有所改进；它在设计上可与旧式网络互通，即便是使用强制门户（许多热点都会显示的登录页面）的网络也不例外 [4]。
Wi-Fi 本身会被攻破吗？
会，而历史也说明了及时更新为何重要。2017 年，研究人员马蒂·范霍夫（Mathy Vanhoef）披露了 KRACK（密钥重装攻击）。这是 WPA2 中的严重缺陷，能让处于信号范围内的攻击者读取原本被认为已安全加密的信息，并且视配置情况，还能注入数据 [5]。为防范这种攻击，用户必须在安全更新发布后尽快更新受影响的产品 [5]。
2021 年 5 月，范霍夫又披露了 FragAttacks。这是一组影响所有现代 Wi-Fi 安全协议（包括 WPA3）、甚至最初的 WEP 的漏洞 [6]。其中三个是 Wi-Fi 标准中的设计缺陷，但由于需要用户交互或不常见的设置，很难被利用；更令人担忧的是 Wi-Fi 产品中的若干编程错误，因为其中一些极易被利用 [6]。在由 Wi-Fi 联盟和 ICASI 监督、历时 9 个月的协调披露期间，相关更新已准备就绪 [6]。
范霍夫指出，如果网站使用了 HSTS（一种强制使用 HTTPS 的设置），传输的数据就无法通过这些缺陷被窃取；而且近年来的手机应用默认都使用 HTTPS [6]。换句话说，正是多层加密的存在，使得 Wi-Fi 的某个缺陷不会自动导致一切暴露无遗。
如何在公共 Wi-Fi 上保护自己？
- 确认网络名称。连接之前，向工作人员询问准确的热点名称和密码，以免连上“邪恶双胞胎”[3]。
- 检查是否使用 HTTPS。在输入任何敏感信息之前，先确认有小锁图标或“https”字样 [1]。
- 关闭文件共享。CISA 表示，不安全的公共网络加上文件共享，可能让恶意用户访问到您误共享的文件；只在您认可的家庭网络上允许共享 [3]。
- 保持软件更新。更新安全软件、操作系统和浏览器，并在手机上开启自动更新 [1]。
- 使用高强度密码和双重认证。FTC 建议两者都要用，这样仅凭被盗的密码就无法登录 [1]。
- 保持私有 Wi-Fi 地址开启。苹果建议对所有支持该功能的网络都启用私有地址 [8]。
- 留意周围环境。CISA 提醒，别人完全可以在您打字时从您身后偷看 [3]。
在公共 Wi-Fi 上需要使用 VPN 吗？
不一定。EFF 表示，配置得当的 VPN 可以保护未加密的流量，也能对本地网络上的窃听者隐藏您的元数据，但 VPN 服务商本身会因此看到全部内容 [2]。它认为，当您必须使用一个不信任、不知道由谁运营的公共网络，而手头又有一个您信任的 VPN 时，VPN 可能会派上用场 [2]。
- 好处：对同一 Wi-Fi 上的人隐藏您访问了哪些网站 [2]。
- 代价：这些可见信息转移到了 VPN 公司手中，如果其政策允许，它可能会记录或出售数据 [2]。
- 局限：过时的 VPN 可能无法很好地保护您；EFF 以 TunnelVision 为例 [2]，在测试中，VPN 一直显示已连接，流量却已泄露 [10]。
实际使用中也存在一些麻烦：英国国家网络安全中心（NCSC）指出，一些第三方网络会限制或阻断 IPsec VPN 流量，而强制所有流量都经过 VPN 可能会与公共 Wi-Fi 的强制门户发生冲突 [11]。作为一般性的预防措施，另一种选择是在不信任某个热点时改用自己手机的移动数据，这样就不必与陌生人共享同一个本地网络。
常见错误
常见问题
在公共 Wi-Fi 上使用网上银行安全吗？
FTC 表示，由于有加密，公共 Wi-Fi 通常是安全的 [1]。请使用银行的官方应用或确认网站使用 HTTPS，确认网络名称 [3]，并保持双重认证开启 [1]。
别人能通过公共 Wi-Fi 入侵我的手机吗？
FragAttacks 等 Wi-Fi 缺陷可能被用来攻击信号范围内的设备，这正是及时更新的重要原因 [6]。保持设备为最新版本并关闭共享功能，可以降低风险 [3][1]。
在公共 Wi-Fi 上应该使用 VPN 吗？
对大多数人来说这是可选的。EFF 表示，VPN 可以对本地窃听者隐藏元数据，但 VPN 服务商会转而看到全部内容 [2]。
什么是强制门户？
许多热点在您上网之前显示的登录页面。即使在使用强制门户的网络上，Wi-Fi Enhanced Open 也能对流量进行加密 [4]。
术语表
来源
- Are Public Wi-Fi Networks Safe? What You Need To Know US Federal Trade Commission, Consumer Advice
- Choosing the VPN That's Right for You (Surveillance Self-Defense) Electronic Frontier Foundation; last reviewed 28 July 2026 · 2026-07-28
- Securing Wireless Networks (archived) US Cybersecurity and Infrastructure Security Agency · 2021-02-01
- Security (WPA3, Wi-Fi Enhanced Open, Protected Management Frames) Wi-Fi Alliance; retrieved 2026-11-03
- Key Reinstallation Attacks: Breaking WPA2 by forcing nonce reuse Mathy Vanhoef, imec-DistriNet, KU Leuven
- FragAttacks: Fragmentation and Aggregation Attacks Mathy Vanhoef · 2021-05-11
- CVE-2024-3661 Detail US National Institute of Standards and Technology, National Vulnerability Database · 2024-05-06
- Use private Wi-Fi addresses on Apple devices Apple Support; retrieved 2026-11-03
- MAC randomization behavior Android Open Source Project; last updated 9 October 2026 · 2026-10-09
- TunnelVision (CVE-2024-3661): How Attackers Can Decloak Routing-Based VPNs For a Total VPN Leak Leviathan Security Group · 2024-05-06
- Device security guidance: Virtual Private Networks (VPNs) UK National Cyber Security Centre; reviewed 13 May 2025 · 2021-06-29
评论
热门评论