Průvodci
Klasická strašidelná historka — někdo v kavárně vám ze vzduchu ukradne heslo — je už z velké části minulostí, protože obsah téměř všech vašich spojení dnes šifruje HTTPS. Na veřejné Wi-Fi zůstávají rafinovanější hrozby: viditelná metadata, jako jsou názvy domén, falešné přístupové body, captive portály a další zařízení, která s vámi síť sdílejí.
Téměř každý seriózní web a aplikace šifruje provoz z jednoho konce na druhý. Hesla, zprávy a čísla karet putují uvnitř TLS, takže odposlouchávač na kavárenské Wi-Fi vidí jen zašifrovaný text, ne vaše data. Tato část staré hrozby z velké části zmizela.
Šifrování skrývá, co říkáte, ne s kým mluvíte. Dotazy DNS a názvy serverů v TLS handshaku prozrazují, které weby a služby používáte, a provozovatel sítě nebo kdokoli, kdo se v ní nachází, si tento seznam může ukládat.
Kdokoli může vysílat hotspot pojmenovaný po kavárně nebo letišti. Vaše zařízení se připojí k nejsilnějšímu povědomě vypadajícímu signálu a od té chvíle je útočník vaší bránou do internetu. Právě tohle, ne odposlech hesel, je realistický moderní útok.
Méně, než tvrdí lidová moudrost, ale víc než vůbec. Před deseti lety běžela velká část webu nešifrovaně a notebook v rohu kavárny opravdu mohl zachytávat přihlašovací údaje ze vzduchu. Dnes je téměř veškerý důležitý provoz zabalený v TLS: banky, e-mail, messengery i e-shopy šifrují obsah mezi vaším zařízením a svými servery bez ohledu na to, v jaké síti sedíte.
Přetrvává jiná sada rizik: metadata, která šifrování nepokrývá, přístupové body, které nejsou tím, za co se vydávají, portálové stránky vyžadující osobní údaje a prostý fakt, že sdílíte místní síť s cizími lidmi.
TLS skrývá obsah vašeho provozu, ale ne jeho cíle. Když vaše zařízení vyhledává název hostitele, síť tento dotaz DNS často dokáže přečíst, a když navazuje spojení TLS, název serveru se obvykle objeví v handshaku v otevřené podobě — v poli SNI. Kdokoli hotspot provozuje nebo sleduje, si může sestavit úhledný seznam všech webů a aplikací, kterých jste se dotkli, včetně časových razítek.
Pro většinu lidí jde spíš o otázku soukromí než o pohotovost: seznam domén, které navštěvujete, o vás vypovídá hodně a na veřejné síti nemáte tušení, kdo ho sbírá a proč. Šifrované DNS únik zmenší, ale SNI neodstraní.
Tohle je jediná mezera, kterou VPN na nepřátelských sítích uzavírá úplně: uvnitř tunelu jsou DNS i handshaky pro hotspot neviditelné a ten vidí jen to, že jste připojeni k serveru VPN.
Nic nebrání komukoli vysílat Wi-Fi síť pojmenovanou po kavárně, hotelu nebo letišti, kde právě jste. Zařízení se ochotně připojují k nejsilnějšímu signálu s povědomým názvem a telefony, které si pamatují staré sítě, se k napodobenině připojí automaticky, aniž byste na cokoli sáhli.
Jakmile jste na útočníkově přístupovém bodu, je vaší bránou do internetu: přiděluje vám DNS, směruje každý paket a může se vás pokusit přesměrovat na přesvědčivé falešné stránky. TLS stále chrání správně zabezpečené weby — pokud se za ně někdo vydává, prohlížeč vás hlasitě varuje — ale cokoli nešifrovaného, každá aplikace, která ignoruje chyby certifikátů, a vše, co napíšete do stránky podstrčené útočníkem, je odhaleno.
Praktická obrana je nenápadná: vypněte automatické připojování k veřejným sítím, zapomeňte hotspoty, které už nepoužíváte, a nikdy na takové síti neignorujte varování o certifikátu.
Stránku, která vás přivítá na hotelové nebo letištní Wi-Fi — s dotazem na číslo pokoje, e-mailovou adresu nebo přihlášení přes sociální síť — se samo o sobě vyplatí brát s nedůvěrou. Běží s oprávněními provozovatele sítě a na falešném hotspotu ji lze triviálně napodobit.
Dejte portálům jen nezbytné minimum: jednorázový e-mail, pokud je pole povinné, nikdy heslo, které používáte jinde, a nikdy údaje o kartě. Portál nemá žádný legitimní důvod požadovat platební údaje výměnou za bezplatnou Wi-Fi.
Jedna praktická poznámka: aplikace VPN se obvykle nedokážou připojit, dokud portál nedokončíte, protože síť do té doby blokuje veškerý ostatní provoz. Dokončete portál a před čímkoli citlivým si ověřte, že tunel běží. Aplikace Aurora se připojí znovu automaticky, jakmile síť začne propouštět provoz.
Na veřejné Wi-Fi dělá VPN jednu věc mimořádně dobře: zbavuje místní síť jakéhokoli významu. Hotspot, jeho provozovatel i kdokoli další v síti vidí jen jeden zašifrovaný proud dat směřující k serveru VPN — žádné dotazy DNS, žádné SNI, žádné cíle, nic, co by šlo přesměrovat. Protokoly jako WireGuard to zvládají s minimálním dopadem na baterii i rychlost, takže nechat VPN stále zapnutou je reálné.
Záleží také na tom, co VPN nedělá. Neprověřuje portálovou stránku, do které vyplňujete údaje, neochrání zařízení, které má na místní podsíti otevřené sdílení souborů, a z phishingového webu neudělá legitimní stránku. Přesouvá vaši důvěru z neznámého hotspotu na poskytovatele, kterého jste si vybrali — to je dobrý obchod, ne kouzlo.
Většina skutečné ochrany spočívá v několika nastaveních, která provedete jednou, a ve dvou návycích, kterých se budete držet. Nic z toho nevyžaduje odborné znalosti.
Na nastavení záleží, protože útoky na veřejných Wi-Fi sítích jsou oportunistické: sbírají to, co neopatrná většina nechá odkryté. Aktualizované zařízení, které se k ničemu nepřipojuje automaticky, nic místně nesdílí a svůj provoz tuneluje, prostě není cíl, který by stál za námahu.
Chcete-li skrýt svou IP adresu, veďte svůj provoz přes jiný server, aby weby viděly jeho adresu místo vaší. VPN to dělá pro vše na zařízení, proxy pro jednu aplikaci a Tor pro maximální zastření na úkor rychlosti. Skrytí IP mění to, co weby vidí, ne to, kdo jste.
„Žádné logy“ téměř nikdy neznamená, že služba nezaznamenává vůbec nic. Obvykle to znamená žádné logy aktivity: žádný záznam o navštívených stránkách ani o přenesených datech. Metadata o připojení, diagnostika a platební záznamy jsou samostatné kategorie a každý poskytovatel je definuje jinak. O tom, které z nich se uchovávají, vypovídají zásady ochrany soukromí, ne slogan.
VPN protokol určuje, jak vaše zařízení a server vytvoří šifrovaný tunel. WireGuard je nejrychlejší a nejjednodušší, OpenVPN nejvyzrálejší a nejflexibilnější, IKEv2/IPsec nejlépe zvládá přepínání sítí na mobilu a Xray/VLESS přes TLS maskuje provoz tunelu jako běžné HTTPS. Každý za svou silnou stránku něčím platí.
14denní záruka vrácení peněz. Až 7 zařízení na jedno předplatné.
Chránit moje zařízení