Długo szukałeś do pracy takiej kawiarni. Niedaleko centrum, gniazdko z prądem faktycznie działa, barista serwuje niczego sobie espresso i nawet nie patrzy na Ciebie z ukosa, jeśli siedzisz nad kawą godzinę. Mają nawet klimatyzację.
Siadasz sobie z kawą przy stoliku, otwierasz prywatnego laptopa, ale zamiast przygotowywać prezentację na spotkanie, wchodzisz na sympatia.pl.
Nikt nie wie o Twoim ostatnim rozstaniu. Specjalnie przyszedłeś do kawiarni, żeby nikt nie zobaczył.
Ale... czy korzystając z publicznego wifi możesz mieć pewność, że nikt się nie dowie?
Krótko o bezpieczeństwie publicznego wifi
Czy bezpiecznie jest z niego korzystać?
No... nie do końca.
Jest zdecydowanie bezpieczniejsze niż jakieś 10 lat temu i dzięki upowszechnieniu stosowania httpS wiele zagrożeń straciło na aktualności, ale... raz, że "wiele" to nie wszystkie, a dwa, że wciąż istnieją strony i aplikacje oparte o starsze i mniej bezpieczne połączenie.
Najbezpieczniej jest w ogóle pominąć wifi i podłączyć laptopa do hotspotu z telefonu.
Ale jeśli ta opcja Ci nie pasuje, to na końcu tekstu znajdziesz listę rzeczy, które pomogą Ci połączyć się ciut bezpieczniej.
Niebezpieczeństwa korzystania z publicznego wifi
Najpierw prosta regułka, zwana pierwszą zasadą paranoika:
Jeśli nie masz pewności, czy coś jest bezpieczne, to przyjmij, że nie jest.
Czyli najlepszą poradą dotyczącą używania publicznego wifi jest nie korzystać?
Tak. Koniec. Kup sobie pakiet internetów u operatora i zagrożenia wifi Cię nie dotykają.
Ale jeśli Ci to nie wystarcza i chcesz się dowiedzieć, dlaczego jest to niebezpieczne, a przede wszystkim jak zredukować to niebezpieczeństwo, to zacznijmy od przedstawienia Ci, z czego te zagrożenia wynikają.
Są trzy przyczyny:
- Korzystanie z nieszyfrowanego ruchu
- Podłączenie się do wrednego wifi
- To, czego nie ukryje nawet HTTPS
Nieszyfrowany ruch a publiczne wifi
Korzystając z http ("https bez es" - Chłopaki nie płaczą) narażasz się na szereg zagrożeń. Każda wiadomość pomiędzy Tobą a internetami jest publiczna. Hasła, loginy, treść czatu... Całe szczęście, żeby znaleźć taką stronę, to dziś potrzeba się nagimnastykować.
No, ale... i ja wiem, że Tobie to się nigdy nie zdarza. Że to przecież nie wypada nawet o takich rzeczach wspominać. Że to Twoją inteligencję obraża... ale gdybyś tak mógł przypomnieć... koledze...
NIE KLIKAJ ODRUCHOWO "KONTYNUUJ MIMO TO", JAK CI PRZEGLĄDARKA WYRZUCA OKIENKO Z OSTRZEŻENIEM
To jest... żeby kolega nie klikał.
Ten S (kiedyś zielona kłódeczka, RIP) powoduje tyle, że ruch, który odbywa się pomiędzy Twoim komputerem a tą stroną, jest szyfrowany, dzięki czemu nawet jak ktoś przeczyta, co z Twojego komputera się wydostaje, to nie będzie w stanie tego rozszyfrować.
Wymagaj HTTPS-a
Choć https to raczej standard, to jednak przeglądarki pozwalają na korzystanie zarówno z szyfrowanego ruchu, jak i starego http. Ale możesz poprosić przeglądarkę o to, żeby tego wymagała. W zależności od przeglądarki, będzie się to różnić, ale szybkie googlowanie "jak ustawić, żeby <nazwa przeglądarki> wymagała https" powinna rozwiązać ten problem.
Potem sprawdź, czy wyskakuje Ci komunikat o niebezpieczeństwie http://neverssl.com/ . Jeśli tak, to zapamiętaj, jak wygląda. I kiedy pojawi się ponownie, wiedz, że coś się dzieje.
S jak Szyfrowane. Zapamiętane? To teraz przejdźmy do tych zagrożeń, które dobrze sobie radzą mimo tego S w pasku adresu.
Dla purystów - S jest tak naprawdę od Secure (bezpieczne), ale bezpieczne nie zaczyna się na S...
Podstawione wifi, czyli fałszywa sieć (evil twin)
Jest mnóstwo sposobów na skierowanie Cię pod wredną sieć, sterowaną przez jakiegoś cyberzłola:
- spreparowana karteczka z nazwą sieci i hasłem lub naklejka z kodem QR do automatycznego połączenia - przecież spodziewasz się czegoś takiego w lokalu
- wifi ze znaną nazwą, pod którą się łączyłeś nieraz: "wifi_lotnisko", "starbucks_wifi", "hotel_wifi", albo oryginalna sieć z dopiskiem "_guest"
- FREE w nazwie - bo czy jest coś lepszego niż za darmo?
- ta sama nazwa sieci co w kawiarni/hotelu, tylko że bez hasła - skoro nie trzeba iść na recepcję i rozmawiać z obcymi, to po co "ryzykować"
- taka sama nazwa, takie samo hasło jak sieć zaufana - szczególnie wredny sposób, zwłaszcza jeśli dodatkowo ma lepszy sygnał niż oryginał
Pamiętasz Pierwszą zasadę paranoika?
Nie da się łatwo stwierdzić, czy dane wifi jest dobre. Lepiej założyć, że nie. To, że ma hasło, oznacza tyle, że do sieci nie dostanie się nikt, kto go nie zna, ale... jeśli sieć jest trefna, to złol już w niej jest.
No dobra... świadom ryzyka podejmujesz decyzję o tym, żeby połączyć się do takiej niesprawdzonej sieci. Bo co się może stać, skoro ruch jest szyfrowany?
Okienko zagłady, czyli strona logowania do wifi
Pierwsze okienko, popup, strona, która pojawia Ci się po połączeniu. To jest miejsce wymagające skupienia. Kontrolę nad nim ma osoba zarządzająca danym punktem dostępu do internetu. W przypadku podstawionej sieci - ZŁOL.
Nie pierwszy raz korzystasz z publicznego wifi. Wiesz, że zanim połączysz się do sieci, trzeba będzie podjąć jakąś akcję: podać swój adres e-mail, zaakceptować regulamin, podać kod zamówienia czy numer pokoju... Ale cyberzłol chciałby z tej relacji czegoś więcej...
Pamiętasz o wymaganiu HTTPS'a? No... To wielce prawdopodobnym jest, że okno logowanie będzie po http. Pamiętaj - to wszystko publiczne i trafić może do złola. Niestety - czasem wymagają numeru pokoju, adresu email itp. Zasada jest prosta - jeśli to informacja, którą możesz się podzielić publicznie - ok. Jeśli coś tajnego (np. hasło do czegokolwiek) - trzymaj się od tego z daleka.
Certyfikaty spod lady
Na przykład żebyś korzystał z jego własnych certyfikatów. Może to być coś w stylu "mamy super szyfrowaną sieć, dlatego potrzebujesz tych certyfikatów, żeby połączyć się z internetem". Nawet zamieści instrukcję, jak takie certyfikaty wgrać.
Tylko wiesz, co wtedy się stanie? Cały ruch wciąż będzie szyfrowany... tylko że on teraz umie to odszyfrować.
De facto wszystko, co będziesz wysyłać w internet, będzie kontrolować. Wszystkie ataki, które normalnie nie są możliwe (bo HTTPS), znów są dostępne. Wszelkie ataki Pana W Środeczku (man in the middle) wchodzą z pełną mocą.
Na domiar złego u Ciebie w przeglądarce ruch będzie określony jako bezpieczny, a ten certyfikat zostaje z Tobą na dłużej. Nawet po odłączeniu się od sieci. Uśpiony będzie czekał, aż znów znajdziesz się w jego zasięgu.
Jeśli poza certyfikatami zainstalowałeś coś jeszcze (np. VPN, który łączy się z jego siecią skądkolwiek), wtedy to już nawet nie musisz być w jego zasięgu.
Słowem - pozamiatane. Nie instaluj niczego z takiego okienka.
Logowanie przez zewnętrzne konto
Łączysz się z siecią, prosi Cię o zalogowanie przez jakiś znany portal. Przenosi Cię na googie.com lub inny facelook.com, wpisujesz dane, potwierdzasz kodem jednorazowym (bo masz włączone uwierzytelnianie wieloskładnikowe, prawda?!) i CYK. Konto przejęte.
Ale... jak to? Przecież było tam HTTPS i kod jednorazowy.
To miało mnie przecież chronić.
Cóż... Gdybyś wszedł na prawdziwą stronę, to by Cię ochroniło, ale logowanie przekierowało Cię na fałszywkę. Spójrz jeszcze raz, dokładniej na adresy, które podałem. Widzisz to?
Jeśli zobaczyłeś literówki w tych adresach za pierwszym razem - brawa dla Ciebie. Ale czy w przyszłości, w pośpiechu i przed pierwszą kawą, Twoje moce umysłowe będą tak samo wyostrzone?
Złol po prostu postawił stronę logowania, która przeniosła Cię na stronę łudząco przypominającą oryginalny portal. Połączenie było szyfrowane. A przecież takie logowanie przez Facebooka czy Google daje co druga strona.
UWAGA! Okienka logowania często chowają pasek adresu. Nie zobaczysz wtedy literówki.
Ale czy da się coś zrobić? Ano da się.
Jak się bronić przed podstawionym wifi
- Passkey - to kombajn, który łączy kilka bezpiecznych praktyk.
- Zastępuje hasło i kod jednorazowy
- Sprawdza, czy domena jest prawdziwa
- Możesz go trzymać w chmurze (Google, Apple) albo, jeśli wolisz bez bigtechów, w menedżerze haseł, np. Bitwarden czy KeePassXC
- Podstawiona strona nie będzie pytała o passkey, bo ten po sprawdzeniu domeny nie zadziała. Jeśli ta metoda nie działa i usilnie proszą o hasło, zapal czerwoną lampkę.
- Niekorzystanie z podejrzanych źródeł dających dostęp do wifi (kody QR poza obsługą)
- Nie loguj się żadnym swoim kontem do publicznej sieci
- Wyłączenie automatycznego połączenia do wifi
- Zapytanie obsługi o dokładną nazwę sieci i hasło.
To czego nie ukryje nawet HTTPS
Ok. Korzystasz z legitnego wifi, upewniasz się, że każda strona, z której korzystasz, jest po https-ie. Teraz to już na pewno jesteś bezpieczny, prawda? Prawda?
Domeny, które odwiedzasz
HTTPS szyfruje treść, ale nie szyfruje domeny strony, którą odwiedzasz. Ba, tutaj nie potrzeba tu nawet niecnych zamiarów. Ta informacja jest publiczna i inni użytkownicy sieci mogą to podejrzeć. Można to ograniczyć konfigurując odpowiednio sieć, ale tutaj założę, że właściciel kawiarni nie jest specem od stawiania hotspotów.
Czyli np. jeśli nałogowo odwiedzasz stronę aniagotuje.pl, to wiadomo, że lubisz coś upichcić. Mało informacji? Ok. Może najwyżej ktoś z kwestiasmaku.com przyjdzie i da Ci wizytówkę.
Ale co, jeśli wśród domen zobaczy tę należącą do Twojej firmy, portalu randkowego, z którego korzystasz, albo banku?
Michał, wychodząc z kawiarni, nie zauważył Mai. Zderzyli się w drzwiach. Z jej rąk powypadały ulotki. Michał pomógł jej je pozbierać. Okazało się, że Maja pracuje w banku, w którym Michał ma konto.
Przeprosił ją i zaprosił na kawę. Okazało się, że, tak jak on, jest singielką. Poszli na randkę. Była udana. Mieli dużo wspólnych tematów. Dziwnym przypadkiem właśnie dziś odwiedzał strony, które dotyczą tych tematów. Jakże ciekawe bywają te przypadki...
Tylko czemu na drugiej randce Maja tak wypytuje o patenty, nad którymi Michał pracuje w firmie...
W Twoim życiu zamiast Mai pewnie szybciej przyjdzie SMS „z Twojego banku”. Też idealnie dopasowany.
To, co udostępniasz z własnej woli
To już może nie wypada wspominać, ale jeśli udostępniasz w sieci foldery, AirDrop, stawiasz jakiś serwer, to w zależności od tego, jak skonfigurowany masz system - te rzeczy będą widoczne dla wszystkich w sieci.
Podłączając się do publicznego wifi, wyłącz to udostępnianie.
Czy VPN chroni na publicznym wifi?
Pora rozprawić się z tym tematem i trochę dopowiedzieć reklamom, które porównują właściwości VPN-ów do Amolu (który oczywiście leczy wszystko).
VPN zaczyna swoje działanie dopiero po połączeniu się do wifi i przejściu przez okienko logowania. Nie obroni Cię przed niczym, co zrobisz, zanim się do niego podłączysz. Z drugiej strony - VPN szyfruje całość połączenia, co w głównej mierze robią też strony z HTTPS-em.
Ale są dwie faktyczne zalety:
- Nikt z kawiarni nie będzie w stanie podejrzeć domen, które odwiedzasz. Widzi je za to operator VPN-a. Wewnątrz lokalnej sieci będzie można podejrzeć jedynie domenę, z którą gada VPN.
- Również ruch HTTP będzie szyfrowany i nikt z kawiarni Ci tego nie podejrzy.
Ale... jeśli nie łączysz się ze swoim VPN-em, a korzystasz z jakiegoś darmowego, to prawda jest taka, że Twój ruch podgląda po prostu ktoś inny.
Jak bezpiecznie korzystać z publicznego wifi – checklista
Da się w skrócie? Specjalnie na Twoje życzenie przykazania korzystania z publicznej sieci wifi.
- Nie korzystaj z publicznego wifi – podłącz się do hotspotu z telefonu
Ale jeśli już musisz...
- Nie pobieraj i nie instaluj niczego z okienka logowania do sieci
- Nie loguj się do wifi przez Google, Facebooka ani inne swoje konta
- Nie ignoruj komunikatów o tym, że strona nie jest szyfrowana
- Włącz w przeglądarce tryb "tylko HTTPS"
- Korzystaj z Passkey, kiedy tylko możesz
- Wyłącz udostępnianie folderów i AirDrop
- Zapytaj obsługę o dokładną nazwę sieci i hasło
- Wyłącz automatyczne łączenie z wifi
- Unikaj logowania na ważne konta (zasada paranoika)
- Korzystaj z VPN-a (ale takiego zaufanego, najlepiej na swoim serwerze, jeśli umiesz)
Polecam sobie wydrukować taką listę i wsadzić ją razem z laptopem do plecaka, żeby następnym razem, łącząc się do publicznego wifi, niczego nie przegapić.
Skąd pracować bezpiecznie?
Ja osobiście zachęcam do stosowania pierwszej zasady paranoika i hotspotu z telefonu. A że telefon w roli routera potrafi żreć baterię jak dziecko słodycze na święta, to w spot4.work dodaliśmy filtr do wyszukiwania miejsc z gniazdkami. A jeśli publiczne wifi Ci nie straszne – po tych z wifi pofiltrować też można.