Чем опасен открытый Wi-Fi: разбор атак и признаки опасной сети

Что делает открытую сеть опасной

Открытый Wi-Fi опасен тем, что вы отдаёте свой трафик людям, которых не знаете: владельцу точки доступа и всем, кто подключён к ней прямо сейчас. В сети без пароля радиоканал не шифруется вовсе — кадры идут по воздуху в открытом виде, и принять их может любой адаптер поблизости. Если пароль есть, но написан на чеке или на стене, ключ известен всем посетителям, и от соседа по столику он не спасает.

Отсюда два класса угроз. Пассивные: атакующий молча слушает эфир и собирает всё, что не зашифровано на верхних уровнях. Активные: он вмешивается в обмен — выдаёт себя за роутер, подменяет ответы DNS, поднимает точку доступа с чужим именем, показывает поддельную страницу входа. Перехват трафика Wi-Fi не требует редкого оборудования: хватает ноутбука со встроенным адаптером и бесплатных утилит.

Дальше — разбор атак по одной: как устроена, что атакующий реально получает и что ему мешает. Практический чек-лист настроек вынесен в отдельный материал — как защитить данные в открытом Wi-Fi. Здесь важнее механика и признаки, по которым опасную сеть видно заранее.

Пассивный перехват: что видит сниффер

Сниффинг — самая дешёвая атака: ничего не взламывают, просто слушают. Адаптер переводится в режим монитора, анализатор пакетов (Wireshark, tcpdump) пишет всё, что летит в эфире, и раскладывает по протоколам. В сети без пароля расшифровывать нечего, в сети с общим паролем кадры расшифровываются известным ключом.

Что достаётся наблюдателю, даже когда сайты работают по HTTPS:

• DNS-запросы. Устройство спрашивает адреса сайтов открытым текстом — получается готовый список того, что вы открывали, с точным временем.
• Имя домена в SNI. В начале TLS-соединения браузер передаёт имя сайта в открытом виде, чтобы сервер выбрал нужный сертификат.
• IP-адреса, объёмы и ритм трафика. По ним понятно, что вы смотрите видео, говорите по видеосвязи или выгружаете большой файл.
• MAC-адрес и имя устройства. Идентификатор, по которому вас узнают при следующем появлении в этой же сети, если не включена рандомизация адреса.
• Трафик приложений без TLS. Старые утилиты, часть умных устройств, самописные клиенты и встроенные веб-вью до сих пор ходят по HTTP — там видно содержимое целиком.

Содержимое HTTPS-страниц сниффер не прочитает — это важная оговорка, и именно она делает современный веб сносно защищённым. Но метаданных хватает, чтобы составить профиль: банк, работодатель, сервисы, часы активности. К тому же пассивный этап обычно предшествует активному: сначала атакующий смотрит, кто в сети и чем занят, потом выбирает цель.

Evil twin и атаки внутри сети

Активные атаки начинаются там, где наблюдения мало и злоумышленник встраивается в цепочку между вами и интернетом. Технически это позиция «человек посередине»: ваш трафик физически проходит через его устройство.

Evil twin — точка доступа с чужим именем

Атакующий поднимает свою точку с тем же именем сети (SSID), что и легальная: «Cafe_Guest», «Airport_Free_WiFi». Дальше работают две особенности Wi-Fi. Первая: телефон сам подключается к сети с запомненным именем и не проверяет, то же это оборудование или нет — у открытой сети нет пароля, значит и сверять нечего. Вторая: при одинаковых именах устройство выбирает сигнал посильнее, а ноутбук атакующего стоит ближе, чем роутер за стойкой. Иногда клиентам дополнительно рассылают пакеты разрыва соединения, чтобы они «перепрыгнули» сами.

Отличить evil twin по названию невозможно — оно копируется символ в символ. Получив позицию посередине, атакующий запускает остальное: подмену DNS, поддельный портал, чтение незашифрованного трафика. Чего он не получает автоматически — содержимого HTTPS: чтобы вскрыть его, нужно уговорить вас установить свой сертификат или профиль конфигурации. Поэтому любое предложение «установите сертификат для доступа в интернет» — сигнал немедленно уходить из сети.

ARP-спуфинг — подмена роутера внутри сети

Если атакующий уже подключён к той же сети, своя точка доступа ему не нужна. Протокол ARP сопоставляет IP-адреса с MAC-адресами и устроен доверчиво: он принимает ответы, которых никто не запрашивал. Злоумышленник рассылает пакеты «шлюз — это я», ваше устройство обновляет таблицу и начинает слать трафик ему, а он передаёт дальше на настоящий роутер. Внешне ничего не меняется: интернет работает, страницы открываются. Мешает такой атаке изоляция клиентов на точке доступа (AP isolation), но в кафе и гостиницах её включают далеко не всегда.

Подмена DNS — ответ, которого вы не ждали

Заняв позицию посередине, проще всего вмешаться в DNS. Запрос об адресе сайта уходит открытым текстом по UDP, атакующий отвечает быстрее настоящего сервера и отдаёт свой IP. Вы набираете верный адрес, а попадаете на копию страницы. Тот же приём используют для заглушки «обновите браузер» или «установите приложение сети» — так на устройство попадает вредоносный файл. Помогает шифрование DNS — DoH и DoT — или туннель, внутри которого DNS-запросы сети недоступны.

Понижение соединения и подмена страницы

Классический SSL stripping ловит момент, когда вы набираете адрес без «https://»: первый запрос уходит по HTTP, и посредник подсовывает свою версию сайта, оставляя себе шифрованный канал до оригинала. Современные браузеры и механизм HSTS закрывают этот сценарий для сайтов, которые его настроили, но старые устройства, редкие домены и встроенные веб-вью по-прежнему уязвимы. Признак — пропавший замок в адресной строке или предупреждение о сертификате там, где его никогда не было.

Поддельный captive portal и перехват сессий

Подмена страницы captive portal

Captive portal — страница авторизации, которая открывается при подключении к гостевой сети. В России на ней обычно просят номер телефона и код из СМС. Для атакующего это идеальная маска: человек и так готов что-то вводить, а внешний вид страницы копируется за полчаса.

Поддельный портал отличается тем, что просит лишнее: пароль от почты или соцсети «для входа через аккаунт», данные карты «для подтверждения личности, спишем 1 ₽», предлагает установить профиль конфигурации или «сертификат оператора», просит разрешить установку приложения из неизвестного источника. Настоящему порталу нужен только номер и код. Ещё один признак — портал, который открывается снова и снова после успешного входа: так вытягивают повторный ввод данных.

Перехват сессий

Пароль воровать необязательно. После входа в аккаунт сервер выдаёт браузеру cookie сессии или токен: кто получил этот набор символов, тот и вошёл — без логина и без второго фактора. В современном вебе вытащить его прямо из эфира сложно, потому что cookie передаются внутри HTTPS и помечаются флагом Secure. Но окна остаются: приложения без TLS, внутренние сервисы по HTTP, устройства, где пользователь всё-таки поставил чужой сертификат, сайты со старыми настройками. Отсюда простое правило: в чужой сети вы либо работаете внутри своего шифрованного туннеля, либо считаете открытую сессию потенциально скомпрометированной.

Сводная таблица атак и реальные последствия

Короткая сводка: что делает атакующий, что он получает и что ему мешает.

Чем это заканчивается на практике

Опасность публичных сетей Wi-Fi редко выглядит как кино про хакеров. Обычные исходы такие: угнанная почта, за которой тянутся все привязанные сервисы, потому что восстановление паролей идёт через неё; списания по карте, реквизиты которой ввели на поддельном портале; рассылка от вашего имени коллегам и клиентам — к знакомому отправителю доверия больше; доступ к рабочим сервисам, если ноутбук ходит в них без туннеля. Отдельная история — установленный «драйвер Wi-Fi» или «приложение сети»: после этого уже неважно, к какой сети вы подключитесь дальше.

Признаки подозрительной сети

Стопроцентного теста не существует, но набор признаков заметно сужает риск. Насторожитесь, если видите что-то из списка.

• Две сети с одинаковым или почти одинаковым именем. Разница бывает в пробеле, подчёркивании или регистре букв.
• Открытая сеть там, где её быть не должно. Сильный сигнал «Free_WiFi» в вагоне, на парковке, в подъезде жилого дома.
• Портал просит лишнее. Пароль от почты, данные карты, разрешение установить профиль или сертификат.
• Страница входа открывается по HTTP или с предупреждением о сертификате. Настоящие порталы давно работают по HTTPS.
• Сеть без пароля в гостинице или бизнес-центре. Там обычно либо ключ на стойке, либо портал с кодом по номеру комнаты.
• Знакомые сайты внезапно просят войти заново. Сессии «слетели» сразу у всех — типичный след подмены DNS или подставленной страницы.
• Сразу после подключения предлагают скачать приложение или обновление. Легальная точка доступа этого не делает.
• Интернет работает, но система пишет «нет доступа к сети». Проверка соединения у операционной системы не сходится с тем, что отвечает сеть.

Простое действие, которое снимает половину проблемы: спросите точное имя сети и способ авторизации у сотрудника заведения, а автоподключение к открытым сетям выключите совсем. Тогда телефон не станет сам цепляться к знакомому имени в другом городе.

Что делать, если вы уже подключались к такой сети

Если про риски вы вспомнили уже после того, как поработали в чужой сети, паниковать не нужно — достаточно пройти по шагам. Всё, что связано со сменой паролей, делайте из доверенной сети: дома или через мобильный интернет.

1. Отключитесь от сети и удалите её из сохранённых: на iPhone — «Забыть эту сеть», на Android — «Удалить сеть». Так устройство не подключится к ней автоматически в следующий раз.
2. Проверьте, не появился ли чужой профиль или сертификат. iOS: «Настройки» → «Основные» → «VPN и управление устройством». Android: раздел безопасности, пункты с учётными данными и сертификатами. Всё незнакомое удалите.
3. Смените пароли там, где входили: сначала почта, затем банк, госуслуги, рабочие сервисы. Пароли — длинные и уникальные, лучше из менеджера паролей.
4. Завершите активные сессии. В настройках безопасности крупных сервисов есть список устройств и кнопка «Выйти на всех устройствах» — это обнуляет украденные cookie.
5. Включите двухфакторную аутентификацию, если её не было, и сохраните резервные коды офлайн.
6. Проверьте правила почты: пересылку на незнакомый адрес, новые фильтры, изменённый адрес восстановления. Это первое, что настраивает злоумышленник после входа в ящик.
7. Посмотрите выписку по карте и включите уведомления о каждой операции.
8. Обновите систему и браузер. Если ставили какой-либо файл «для Wi-Fi» — удалите его и проверьте устройство.

Отдельно про рабочие ноутбуки: если вы заходили во внутренние сервисы компании, предупредите администратора. Смена корпоративного пароля и сброс сессий — его обычная процедура, а молчание обходится дороже.

Как закрыть эти сценарии заранее

Все разобранные атаки бьют в одно место — незащищённый участок между вашим устройством и выходом в интернет. Закрыв его, вы делаете свойства чужой сети неважными.

• Шифрованный туннель. VPN заворачивает трафик устройства ещё до выхода в эфир. Сниффер видит один зашифрованный поток, посредник не может ни прочитать, ни подменить пакеты: WireGuard проверяет подлинность каждого и отбрасывает чужие; у Muhomor VPN готовый конфиг импортируется в приложение за минуту. Сценарий подробно разобран в статье VPN для публичного Wi-Fi.
• Шифрованный DNS. DoH или DoT закрывают подмену имён даже тогда, когда туннель выключен.
• Двухфакторная аутентификация. Украденный пароль перестаёт быть ключом от аккаунта.
• Обновления. Свежие система и браузер закрывают старые дыры и корректно отрабатывают HSTS.
• Выключенное автоподключение к открытым сетям и удаление разовых сетей из памяти устройства.
• Режим «только HTTPS» в браузере и привычка заходить в важные сервисы по закладке, а не по ссылке из письма.

Туннель удобно настроить заранее, дома. У Muhomor VPN это выглядит так: оформляете пробный доступ на главной — 3 дня бесплатно, без карты, нужен только e-mail, — получаете на почту готовый WireGuard-конфиг с QR-кодом и импортируете его в приложение WireGuard за минуту. На один доступ выдаётся до пяти отдельных конфигов: телефон, ноутбук, планшет. Дальше остаётся включать туннель до того, как вы откроете почту в кафе, а не после. Как это делается на телефоне, показано в статье как зашифровать трафик на смартфоне.

И последнее, о чём стоит помнить: VPN — инструмент против атак на канал связи. Он не отменяет фишинг, слабые пароли и вредоносные файлы. Если вы сами введёте пароль на поддельной странице, туннель аккуратно доставит его мошеннику в зашифрованном виде. Поэтому шифрование трафика и обычная внимательность работают только вместе.