Как защитить данные в открытом Wi-Fi

От чего защищаться: пять угроз открытой сети

Открытая сеть — это Wi-Fi без пароля или с паролем, который написан на стене кафе. В первом случае радиоканал не шифруется вовсе, во втором ключ известен всем присутствующим, поэтому соседям по сети при желании доступен ваш трафик ещё на канальном уровне. Вы не управляете роутером, не знаете, кто его настраивал и кто ещё сидит в этой сети. Отсюда вырастают пять практических угроз.

Пассивный перехват (сниффинг)

Ноутбук с Wi-Fi-адаптером в режиме монитора и анализатором пакетов собирает всё, что летит по воздуху. Содержимое HTTPS-соединений он не прочитает, но увидит, к каким доменам вы обращаетесь, какие DNS-запросы отправляете и что передают приложения без шифрования.

Поддельные точки доступа

Злоумышленник поднимает точку с названием вроде «Cafe_Free» или точной копией имени легальной сети. Телефон автоматически подключается к более сильному сигналу, и весь трафик проходит через чужое оборудование. Как устроены такие атаки и по каким признакам их распознать, подробно разобрано в статье чем опасны открытые Wi-Fi сети.

Captive portal

Страница авторизации «введите номер телефона и получите код» — стандартная практика в России и одновременно удобная маска для фишинга. Поддельный портал просит пароль от почты, данные карты «для подтверждения возраста» или предлагает установить «сертификат для быстрого интернета». Настоящему порталу нужен только номер телефона и код из СМС.

Человек посередине (MITM)

Владелец точки или тот, кто её взломал, встраивается между вами и интернетом: подменяет ответы серверов, вставляет свои скрипты в незашифрованные страницы, пытается понизить соединение до открытого HTTP. Против правильно настроенного HTTPS это работает плохо, но остаётся угрозой для старых приложений и сайтов с ошибками в настройке.

Подмена DNS

Сеть выдаёт устройству свой DNS-сервер — это нормально. Ненормально, когда этот сервер на запрос адреса банка отвечает адресом фишинговой копии. Браузер предупредит о неверном сертификате, но многие нажимают «продолжить», а приложения без строгой проверки сертификатов не предупредят вообще.

Что уже защищает HTTPS — и где его недостаточно

Хорошая новость: большая часть веба давно работает по HTTPS. Содержимое страниц, пароли в формах и cookie шифруются между браузером и сервером, и сниффер в кафе видит только нечитаемый поток. Механизм HSTS не даёт понизить соединение до открытого HTTP на сайтах, которые его включили. Если бы весь ваш трафик состоял из HTTPS-соединений к правильно настроенным сайтам, открытый Wi-Fi был бы почти безопасен.

Проблема в том, что HTTPS закрывает только содержимое отдельного соединения. За его пределами остаётся заметная часть информации:

• DNS-запросы. По умолчанию телефон спрашивает адреса сайтов у DNS-сервера сети открытым текстом. Даже если страница потом откроется по HTTPS, сеть уже знает, на какой домен вы пошли, и имела возможность подменить ответ.
• SNI в начале TLS-соединения. Устанавливая защищённое соединение, браузер передаёт серверу имя домена в открытом виде, чтобы тот выбрал нужный сертификат. Расширение Encrypted Client Hello внедряется медленно, поэтому список посещённых доменов пока остаётся виден сети.
• Метаданные. Кто, когда, к каким IP-адресам обращался и сколько данных передал. По объёму и ритму трафика несложно понять, что вы смотрите видео, разговариваете по видеосвязи или скачиваете файл.
• Приложения без TLS или с небрежной проверкой сертификатов. Старые игры, погодные виджеты, встроенные браузеры и часть умных устройств до сих пор ходят по HTTP или принимают любой сертификат. Вы не узнаете об этом, пока не посмотрите их трафик анализатором.
• Сам captive portal. До авторизации устройство открывает страницу портала по HTTP — так задумано, иначе браузер не смог бы показать окно входа. Именно этот момент используют поддельные порталы.

Отсюда правило: HTTPS обязателен, но это защита конкретного сайта, а не устройства целиком. Безопасность в общественном Wi-Fi требует ещё одного слоя, который одинаково закроет DNS, SNI и трафик всех приложений.

Как VPN закрывает эти пробелы

VPN-туннель шифрует весь трафик устройства до того, как он покинет телефон или ноутбук, и передаёт его на сервер VPN, откуда он уходит в интернет уже с адреса сервера. Для сети кафе это означает одно: она видит единственное зашифрованное соединение до одного IP-адреса и ничего больше. Ни DNS-запросов, ни имён доменов в SNI, ни трафика приложений без шифрования — всё это находится внутри туннеля.

Пройдём по угрозам из первого раздела. Сниффер получает зашифрованный поток без содержимого и без списка сайтов. Поддельная точка доступа и человек посередине оказываются снаружи туннеля — они могут разорвать соединение, но не прочитать и не подменить данные: WireGuard проверяет подлинность каждого пакета, и любая подмена отбрасывается. Подмена DNS перестаёт работать, потому что запросы уходят не к серверу сети, а к DNS-серверу, указанному в конфиге туннеля. Приложения без TLS получают шифрование на отрезке до VPN-сервера — ровно там, где находится злоумышленник из кафе.

Важно понимать границы. VPN защищает участок «устройство — VPN-сервер». Дальше трафик идёт как обычно: к сайтам по HTTPS — зашифрованным, к сайтам по HTTP — открытым. VPN не отменяет фишинг: если вы сами введёте пароль на поддельной странице, туннель аккуратно доставит его мошеннику в зашифрованном виде. VPN не защищает от вредоносных файлов и слабых паролей. Это инструмент против атак на канал связи, а именно они составляют главную опасность открытого Wi-Fi.

Для такого сценария подходит любой современный протокол, но WireGuard удобнее остальных: он поднимает соединение за доли секунды, переживает переход с Wi-Fi на LTE без переподключения и почти не расходует батарею в простое. В Muhomor VPN клиент получает готовый файл конфигурации и QR-код — импорт в приложение WireGuard занимает минуту, а дальше остаётся один переключатель. Что ещё важно при выборе сервиса под публичные сети, разобрано в статье VPN для публичного Wi-Fi.

Чек-лист: до подключения, во время сеанса и после

Главный принцип: почти всё делается заранее, дома, в доверенной сети. В кафе или аэропорту должен оставаться один переключатель. Настраивать защиту, когда вы уже сидите в чужом Wi-Fi и торопитесь, — худший из возможных сценариев.

Заранее, один раз дома

1. Оформите доступ и получите конфиг на e-mail из домашней сети. У Muhomor VPN первые 3 дня бесплатны, без карты и автосписаний, — этого достаточно, чтобы всё проверить до поездки на главной странице.
2. Установите приложение WireGuard на каждое устройство, которое берёте с собой: телефон, ноутбук, планшет. На одном доступе выпускается до пяти отдельных конфигов — по одному на устройство, общий файл на всех не годится.
3. Импортируйте конфиг и поднимите туннель хотя бы раз дома, чтобы убедиться, что соединение устанавливается.
4. Включите автоподключение: на iPhone и Mac это режим по требованию (On-Demand), на Android — постоянно включённый VPN в системных настройках сети. Домашнюю сеть можно добавить в исключения. Как устроен такой режим и чем он отличается от kill-switch, разобрано в статье про kill-switch и always-on VPN.
5. Проверьте, что в почте, банке и мессенджерах включена двухфакторная аутентификация, а система и браузер обновлены.

В момент подключения к сети

1. Уточните точное имя сети у персонала. Две сети с похожими именами рядом — достаточный повод не подключаться ни к одной.
2. Подключитесь и сразу поднимите туннель — до того, как открывать почту, мессенджеры и банковское приложение.
3. Страницу входа проходите по минимуму: номер телефона и код из СМС. Никаких паролей от почты, данных карты, установки профилей, сертификатов и «приложений для ускорения интернета».
4. Убедитесь, что туннель действительно поднялся: в приложении есть свежее рукопожатие и растут счётчики трафика. Включённый переключатель сам по себе ничего не доказывает.
5. Перед оплатой или входом в банк взгляните на адресную строку: правильный домен и значок защищённого соединения, без предупреждений о сертификате.

После сеанса

1. Забудьте разовую сеть в настройках Wi-Fi. Иначе устройство будет само подключаться к ней — и к любой точке с тем же именем в другом городе.
2. Выключите Wi-Fi, когда он не нужен: телефон перестанет перебирать в эфире знакомые имена сетей.
3. Если вы всё-таки вводили пароль в сомнительном окне, смените его и завершите активные сессии в настройках сервиса.
4. Загляните в список активных устройств и последних входов в важных аккаунтах — там видно необычную активность.

Настройки телефона и ноутбука, которые стоит поменять один раз

Несколько переключателей в системных настройках снимают целый класс проблем. Поменяйте их однажды — и дальше они работают сами.

• Автоподключение к открытым сетям. Это ключевая настройка: именно она приводит устройство в поддельную точку без вашего ведома. На iPhone включите запрос на подключение к новым сетям и отключите автодоступ к точкам, на Android выключите автоматическое подключение к открытым сетям и помощник Wi-Fi.
• Случайный MAC-адрес. На iOS это «Частный адрес Wi-Fi» в свойствах сети, на Android — выбор случайного MAC в дополнительных параметрах сети, в Windows — случайные аппаратные адреса в настройках Wi-Fi. Без этого одна и та же сеть в разных городах узнаёт ваше устройство по постоянному адресу и складывает из этого карту перемещений.
• Общий доступ. В чужой сети отключите общие папки и принтеры: на Windows выбирайте профиль «Общедоступная сеть», а не «Частная», на Mac снимите галочки в разделе общего доступа. Видимость по AirDrop и Bluetooth поставьте «только для контактов».
• Шифрованный DNS. Современные системы и браузеры умеют DoH и DoT — запросы имён уходят по защищённому каналу, а не открытым текстом. Внутри туннеля DNS и так закрыт, но это полезный запасной слой на те минуты, когда VPN выключен. Как включить — в статье про безопасный DNS: DoH и DoT.
• Автообновления. Свежие версии системы и браузера закрывают как раз те дыры, на которые рассчитаны атаки в чужих сетях.
• Никаких профилей и сертификатов по просьбе сети. Легальной точке доступа они не нужны никогда. Установленный корневой сертификат позволяет владельцу сети читать ваш защищённый трафик — это самый опасный из всех возможных шагов в публичном Wi-Fi.

Отдельно про альтернативу: если сеть вызывает сомнения, а данные нужны прямо сейчас, проще раздать интернет с телефона. Мобильная сеть шифруется на радиоучастке и не пускает соседей по кафе в ваш трафик. Туннель при этом всё равно полезен — он закрывает данные уже от оператора и от сайтов, — но острота риска заметно ниже.

Таблица: угроза и чем она закрывается

Сводка того, что мы разобрали выше: против каждой угрозы своя мера, и VPN закрывает не всё, а конкретный, самый массовый класс атак.

Последняя строка важнее, чем кажется. VPN — инструмент против атак на канал связи, и в открытой сети он закрывает почти всю их часть. Но он не отменяет внимательности: пароль, введённый на поддельном сайте, туннель аккуратно доставит мошеннику в зашифрованном виде. Поэтому защита данных в открытом Wi-Fi — это связка из трёх вещей: шифрованный туннель, разумные настройки устройства и привычка не вводить лишнего. Остальные бытовые правила собраны в материале чек-лист цифровой гигиены.