Публичный Wi-Fi в кафе, аэропорту, отеле — анонимность здесь не живет

Wi-Fi в публичных местах обеспечивает свободное общение, посещение маркетплейсов, работу с онлайн-сервисами. С ним можно проверять почту и общаться в соцсетях прямо в кафе или ТРЦ, работать и развлекаться, не расходуя мобильный трафик. Однако, подключаясь к бесплатной сети, помните о связанных с этим рисках. Главный из них – отсутствие анонимности и безопасности. Команда PSB Hosting подготовила свои рекомендации по работе с публичным вай-фай.

Кто следит за вами в публичной сети

Публичные сети Wi-Fi не используют шифрование или делают его минимальным, что повышает риск перехвата личной информации. Это как отправить письмо без конверта – прочитать его и воспользоваться информацией может кто угодно.

Владелец сети Wi-fi: что видит, собирает и зачем

Владельцу публичной точки доступа Wi-Fi в зависимости от функционала роутера доступна следующая информация об ее пользователях.

• Основная информация об устройствах. Это имя устройства (hostname), его тип и операционная система – например, смартфон (марка, модель) на Android. Владелец сети видит IP-адрес, по которому определяется местоположение устройства в сети, MAC-адрес, позволяющий идентифицировать смартфон/планшет/ноутбук, даже если он меняет IP-адрес.
• Информация о подключении. Это время подключения и отключения, объем переданных данных, доменные имена посещаемых сайтов без содержания трафика, то есть, конкретные страницы, поисковые запросы и переписка владельцу точки вай-фай не видны.
• Ограниченный анализ трафика: его тип и используемые порты. Видно, какие онлайн-игры, приложения и сервисы запускал пользователь, смотрел ли он потоковые видео и пользовался ли веб-серфингом.

Владельцу точки Wi-Fi эта информация позволяет оценить и повысить безопасность сети, оптимизировать управление ею, улучшить качество обслуживания. Вместе с тем данные посетителей и их интернет-предпочтения позволяют ему анализировать их поведение, посещаемость заведения, эффективность рекламы и популярность услуг.

Соседи по сети: что могут сделать

Соседи по сети Wi-Fi, то есть, люди, использующие ту же беспроводную сеть, что и вы, могут сделать несколько вещей.

• Использовать вашу интернет-полосу и просматривать общие ресурсы. Если они скачивают большие файлы или смотрят видео, это может замедлить вашу скорость интернета.
• Сканировать сеть. Соседу видны данные о марке и модели вашего устройства, его операционная система, открытые порты.
• Перехватывать незашифрованный трафик. Если не используется HTTPS ваши логины, пароли, содержимое писем могут быть перехвачены. Возможно также изменение настроек, блокировка сети, подмена страниц сайтов.
• Атака вашего устройства. Можно получить доступ к вашим файлам, установить вредоносное ПО или взять устройство под контроль.

Два последних пункта доступны только инженерно продвинутым соседям по Wi-Fi и могут требовать физического доступа к вашему мобильному устройству.

Поддельная точка доступа: как работает

Поддельная точка доступа Wi-Fi (Evil Twin или honeypot) – это имитация легитимной, созданная с целью перехвата данных пользователей. У нее обычно знакомое, вызывающее доверие название и открытый доступ. Для ее создания необходимо устройство, способное транслировать Wi-Fi сигнал: обычный ноутбук, смартфон, Raspberry Pi, Wi-Fi оборудование и специальное ПО - Airbase-ng, Fluxion или WiFi Pineapple.

Поддельная точка дает ее владельцу следующие возможности:

• Воровать учетные и персональные данные. Это логины и пароли от сервисов, банковские реквизиты, номера карт, прочая личная информация. Делается это в том числе через фишинг – перенаправление на поддельные страницы входа (например, поддельную страницу Gmail).
• Распространять вредоносное ПО. Через фальшивую точку доступа пользователей направляют на поддельные сайты, зараженные вирусами. 
• Отслеживать посещаемые сайты, проведенное на них время и прочую активность в интернете.
• Проводить DoS-атаки. Их цель – вывести из строя сервер, компьютерную систему, сетевые устройства за счет массовой отправки запросов с множества устройств. Так создается перегрузка атакуемой системы. Для этого как раз нужна поддельная точка вай-фай и подключенные к ней устройства.

Для пользователей такая точка ничем не отличается от публичной сети Wi-Fi и ее безопасность не вызывает подозрений.

Технические причины: почему «анонимность» в публичном Wi-Fi – миф

Основная опасность бесплатной публичной точки доступа Wi-Fi кроется в краже личных данных, трафика, использовании ничего не подозревающих пользователей для DoS-атак и заражение их устройств вирусами. Какую бы безопасность и анонимность не гарантировал владелец такой сети, технически она невозможна ввиду следующих причин.

• Отслеживание MAC-адреса. Через не защищенный вай-фай можно отслеживать перемещение мобильного устройства при помощи его уникального MAC-адреса – он жестко привязан к нему и не меняется. И для этого не обязательно входить в учетные записи. По MAC-адресу моно отследить подключения к сети, перемещения, время пребывания на сайте и т. д.
• Уникальность цифрового отпечатка браузера. Чем она выше, тем проще вас отследить. Цифровой отпечаток формируется с учетом версии браузера, ОС, плагинов и расширений, поддержки WebGL, Canvas, Audio API, а также поддерживаемых шрифтов, разрешения экрана, часового пояса, настроек языка и т. д. Он позволяет сайтам идентифицировать вас даже при смене IP-адреса (например, при переключении между разными Wi-Fi сетями).
• Отсутствие сквозного шифрования. Большинство публичных сетей Wi-Fi либо вообще не используют шифрование, либо оно слишком слабое. Это означает, что ваши логины, пароли и прочая личная информация могут быть перехвачены злоумышленниками, находящимися в той же сети.
• Данные для авторизации. Для подключения к публичной сети Wi-Fi часто требуется указать свой телефон, имя пользователя, пароль от «Госуслуг», паспортные данные, номер договора с провайдером и т. д. Проводить идентификацию личности пользователя от владельца публичной Wi-Fi сети требует закон. Но, любая авторизация, даже самая простая, оставляет цифровой след. Нет "секретных данных для авторизации", гарантирующих 100%-ную безопасность.

Использование публичного Wi-Fi дает доступ к интернету, но сопряжено с высоким риском. Анонимность практически отсутствует, поэтому важно принимать меры для защиты своих данных.

Стратегия защиты: что делать на самом деле

Несмотря на высокие риски защитить себя и свои данные в публичной сети вай-фай можно. Используйте для этого базовые рекомендации и специальные сервисы.

Базовый уровень

• Протокол HTTPS. Значок замка рядом с адресом сайта подскажет, что используется именно этот протокол передачи данных – он их не только шифрует, но и защищает от перехвата.
• Отключение опции автоматического подключения к публичным сетям Wi-Fi и функции обмена файлами.
• Своевременное выключение Wi-Fi. Отключите его сразу после использования.
• Отказ от ввода паролей, данных банковских карт и других конфиденциальных данных при использовании публичной точки доступа Wi-Fi.
• Регулярное обновление ПО до последней версии. Ее уровень безопасности обычно выше предыдущего.

Эти шаги обеспечивают базовый уровень защиты, но не гарантируют полную безопасность. Для более надежной защиты рекомендуются меры продвинутого уровня.

Продвинутый уровень

• Подключение через VPN. Он создает зашифрованный туннель между мобильным устройством и VPN-сервером. Через него проходит весь интернет-трафик, что делает его нечитаемым для посторонних.
• Двухфакторная аутентификация (2FA). Ее можно использовать для электронной почты, соцсетей, электронных кошельков, банковских приложений.
• Использование брандмауэра. Он блокирует несанкционированный доступ к телефону/ноутбуку, анализирует трафик, защищает от атак типа MitM.
• Изменение настроек DNS. Работа с устаревшим DNS-сервером позволяет перехватывать график. Рекомендуется пользоваться версиями не ниже Cloudflare 1.1.1.1, Google 8.8.8.8 и другими.
• Использование программ виртуализации типа VirtualBox, VMware, Docker. Браузер запускается внутри такого сервиса, и при атаке повреждается только он, что удобно и безопасно при работе в публичной сети вай-фай.
• Установка блокировщика скриптов и рекламы. NoScript блокирует протоколы JavaScript, uBlock Origin – рекламу и вредоносные скрипты.
• Аппаратный ключ безопасности (FIDO2) типа Google Titan Security Key. Защищает от фишинга и надежно охраняет вход в учетные записи.

Регулярную проверку настроек безопасности и установку антивирусного ПО никто не отменял. Оно помогает обнаруживать и удалять вредоносные программы, загруженные через публичные сети Wi-Fi.

Что не работает

Опасность бесплатного публичного Wi-Fi не преувеличена. Просто избегать подозрительных сайтов и включать режим «инкогнито» недостаточно. Столкнуться со злоумышленниками можно и на хорошем сайте. Точно не защищают от них следующие сервисы и методы.

• Бесплатный VPN. Хороший VPN-сервис инвестирует в инфраструктуру и безопасность, а не надежный зарабатывает на продаже личных данных, демонстрации рекламы, внедрении вредоносного ПО.
• Устаревший, давно не обновлявшийся антивирус.
• Включение брандмауэра без запрета на входящий трафик со всех портов.
• Простые пароли, в том числе одинаковые для всех сервисов и аккаунтов.

Защита в публичных Wi-Fi сетях требует комплексного подхода – тут нужна многоуровневая защита. Не игнорируйте уведомления системы об угрозах и регулярно делайте резервное копирование данных – в случае заражения или кражи данных оно поможет восстановить информацию.

Специфика локаций: где опаснее всего

В каждой локации свои риски, связанные с подключением к публичной сети вай-фай. Ниже приведен перечень наиболее опасных.

Аэропорты и вокзалы

Здесь наиболее высокая концентрация ценной информации. В зале ожидания люди часто работают, делают платежи, проверяют почту, переписываются, то есть, подолгу подключены к Wi-Fi. Уровень его защиты здесь не высокий, ПО обновляется редко. Такой подход объясняется высокой проходимостью и стабильным спросом даже на опасные, незащищенные соединения – владельцу нет необходимости вкладываться в защиту и развитие инфраструктуры. Высокая концентрация пользователей выгодна злоумышленникам – много потенциальных жертв, выше успех атаки.

К наиболее опасным угрозам на вокзале и в аэропорту относится перехват трафика и незашифрованных паролей, подключение к поддельной сети вай-фай, заражение устройства вредоносным ПО.

Отели

В отелях останавливаются люди с разным уровнем технической грамотности. Сети Wi-Fi здесь регулярно не обновляются, их безопасности внимание уделяется редко (исключение составляют дорогие 5-звездные отели, инвестирующие в безопасность). Бесплатным подключением пользуются как гости, так и сотрудники. Опасаться здесь стоит перехвата и сканирования трафика, заражение вредоносным ПО через рекламу или поддельные обновления.

Кафе и рестораны

В кафе проводят меньше времени, чем в аэропортах или отелях. Здесь преимущественно просматривают соцсети, отвечают на сообщения, посещают интернет-магазины и информационные сайты, то есть, объем конфиденциальной информации намного меньше. Из наиболее вероятных угроз стоит отметить перехват незашифрованного трафика, подключение к поддельной Wi-Fi сети, заражение вирусом через рекламу.

Заключение

Публичные сети Wi-Fi — это удобно, но не безопасно. Первый и самый важный шаг к защите конфиденциальной информации – отказ от иллюзии анонимности. Рекомендации от PSB Hosting помогут обезопасить бесплатное подключение к интернету даже в высоко рисковых локациях. Мы готовы ответить на все вопросы по повышению безопасности в интернете, в том числе оборудованию для публичных сетей Wi-Fi и работе с ним.