Útmutatók
A klasszikus rémtörténet — hogy valaki a kávézóban a levegőből lopja el a jelszavadat — mára nagyrészt elavult, mert a HTTPS már szinte minden kapcsolatod tartalmát titkosítja. Ami a nyilvános Wi-Fi-n megmarad, az árnyaltabb: a látható metaadatok, például a domainnevek, a hamis hozzáférési pontok, a bejelentkezési oldalak (captive portalok) és a veled egy hálózaton lévő többi eszköz.
Szinte minden komoly weboldal és app végponttól végpontig titkosítja a forgalmát. A jelszavak, üzenetek és kártyaszámok TLS-ben utaznak, így a kávézó Wi-Fi-jén leskelődő csak titkosított adatot lát, nem a te adataidat. A régi fenyegetésnek ez a része jórészt megszűnt.
A titkosítás azt rejti el, mit mondasz, nem azt, kivel beszélsz. A DNS-lekérdezések és a TLS-kézfogásban szereplő szervernevek elárulják, mely oldalakat és szolgáltatásokat használod, és a hálózat üzemeltetője vagy bárki, aki rácsatlakozott, összegyűjtheti ezt a listát.
Bárki sugározhat egy hotspotot a kávézó vagy a repülőtér nevével. Az eszközöd a legerősebb, ismerősnek tűnő jelhez csatlakozik, és onnantól a támadó az átjáród. Ez — és nem a jelszavak lehallgatása — a valós, modern támadás.
Kevésbé, mint a városi legendák állítják, de nem teljesen veszélytelen. Egy évtizede a web nagy része titkosítatlanul működött, és egy laptop a sarokban tényleg el tudta kapni a bejelentkezési adatokat a levegőből. Ma szinte minden érdemi forgalom TLS-be van csomagolva: a bankok, a levelezők, az üzenetküldők és a webáruházak titkosítják a tartalmat az eszközöd és a szervereik között, függetlenül attól, milyen hálózaton vagy.
Ami megmarad, az egy másfajta kockázatkészlet: a titkosítás által nem fedett metaadatok, a nem annak kiadó magukat hozzáférési pontok, a személyes adatokat kérő bejelentkezési oldalak, és az az egyszerű tény, hogy idegenekkel osztozol egy helyi hálózaton.
A TLS elrejti a forgalmad tartalmát, de a célállomásait nem. Amikor az eszközöd feloldja egy gazdagép nevét, az a DNS-lekérdezés gyakran olvasható a hálózat számára, és amikor TLS-kapcsolatot nyit, a szervernév általában nyílt szövegként jelenik meg a kézfogásban — ez az SNI mező. Aki a hotspotot üzemelteti vagy figyeli, szép, időbélyeges listát állíthat össze minden oldalról és appról, amelyhez hozzányúltál.
A legtöbb ember számára ez inkább adatvédelmi kérdés, mint vészhelyzet: a meglátogatott domainek listája sokat elárul rólad, és egy nyilvános hálózaton fogalmad sincs, ki gyűjti és miért. A titkosított DNS szűkíti a szivárgást, de az SNI-t nem tünteti el.
Ez az egyetlen rés, amelyet egy VPN ellenséges hálózatokon teljesen bezár: az alagúton belül a DNS és a kézfogások láthatatlanok a hotspot számára, amely csak annyit lát, hogy egy VPN-szerverhez csatlakozol.
Semmi sem akadályoz meg senkit abban, hogy annak a kávézónak, hotelnek vagy repülőtérnek a nevével sugározzon egy Wi-Fi-hálózatot, ahol éppen vagy. Az eszközök készséggel csatlakoznak a legerősebb, ismerős nevű jelhez, a régi hálózatokra emlékező telefonok pedig automatikusan újracsatlakoznak egy hasonmáshoz, anélkül, hogy bármihez hozzányúlnál.
Ha egyszer egy támadó hozzáférési pontján vagy, ő az átjáród: ő osztja ki a DNS-t, ő irányít minden csomagot, és megpróbálhat meggyőző hamis oldalakra átirányítani. A TLS továbbra is védi a megfelelően biztosított oldalakat — a böngésződ hangosan figyelmeztet, ha valaki megszemélyesíti őket —, de minden titkosítatlan forgalom, minden app, amely figyelmen kívül hagyja a tanúsítványhibákat, és minden, amit a támadó által kiszolgált oldalra beírsz, veszélyben van.
A gyakorlati védekezés nem látványos: kapcsold ki az automatikus csatlakozást a nyilvános hálózatokhoz, felejtsd el a már nem használt hotspotokat, és soha ne hagyj figyelmen kívül tanúsítványfigyelmeztetést, amíg ilyen hálózaton vagy.
A hotel vagy a repülőtér Wi-Fi-jén fogadó oldalt — amely szobaszámot, e-mail-címet vagy közösségi bejelentkezést kér — önmagában is érdemes gyanakvással kezelni. A hálózat üzemeltetőjének jogosultságaival fut, és egy hamis hotspoton gyerekjáték utánozni.
Adj a portáloknak csak a minimumot: egy eldobható e-mail-címet, ha a mező kötelező, soha ne olyan jelszót, amelyet máshol is használsz, és soha ne kártyaadatokat. Egy portálnak semmi jogos oka nincs fizetési adatokat kérni azért, hogy ingyenes Wi-Fi-t adjon.
Egy gyakorlati megjegyzés: a VPN-appok általában nem tudnak csatlakozni, amíg a portálon nem vagy túl, mert a hálózat minden mást blokkol. Fejezd be a portált, majd ellenőrizd, hogy az alagút felépült, mielőtt bármi érzékenyet csinálnál. Az Aurora appjai automatikusan újracsatlakoznak, amint a hálózat elkezdi átengedni a forgalmat.
Nyilvános Wi-Fi-n a VPN egy dolgot rendkívül jól csinál: lényegtelenné teszi a helyi hálózatot. A hotspot, az üzemeltetője és bárki más rajta csak egyetlen titkosított adatfolyamot lát egy VPN-szerver felé — se DNS-lekérdezéseket, se SNI-t, se célállomásokat, semmit, amit átirányíthatna. Az olyan protokollok, mint a WireGuard, ezt alig érzékelhető akkumulátor- vagy sebességköltséggel teszik, így reális, hogy folyamatosan bekapcsolva hagyd.
Az is számít, mit nem tesz egy VPN. Nem ellenőrzi a portáloldalt, amelybe beírod az adataidat, nem véd meg egy olyan eszközt, amelynek a fájlmegosztása nyitva áll a helyi alhálózat felé, és nem tesz egy adathalász oldalt valódivá. A bizalmadat egy ismeretlen hotspotról az általad választott szolgáltatóra helyezi át — jó csere, de nem varázslat.
A valódi védelem nagy része néhány beállításból áll, amelyeket egyszer állítasz be, plusz két szokásból, amelyeket megtartasz. Ehhez semmilyen szakértelem nem kell.
A beállítások azért fontosak, mert a nyilvános Wi-Fi elleni támadások opportunisták: azt szüretelik le, amit a gondatlan többség kitesz. Egy frissített eszköz, amely semmihez nem csatlakozik automatikusan, semmit nem oszt meg helyben, és alagúton küldi a forgalmát, egyszerűen nem érdemes célpont.
Az IP-címed elrejtéséhez irányítsd át a forgalmadat egy másik szerveren, hogy a weboldalak annak a címét lássák a tiéd helyett. A VPN ezt az eszköz teljes forgalmára megteszi, a proxy egyetlen alkalmazásra, a Tor pedig a legerősebb álcázást adja, de a sebesség rovására. Az IP-cím elrejtése azt változtatja meg, mit látnak az oldalak — nem azt, hogy ki vagy.
A „nincs naplózás” szinte soha nem azt jelenti, hogy a szolgáltató semmit nem rögzít. Általában azt takarja, hogy nincs tevékenységnapló: nem marad nyoma a meglátogatott oldalaknak és az átvitt adatoknak. A kapcsolati metaadatok, a diagnosztika és a fizetési adatok külön kategóriát alkotnak, és minden szolgáltató másképp határozza meg őket. Azt, hogy melyiket őrzik meg, az adatvédelmi szabályzat árulja el, nem a szlogen.
A VPN-protokoll határozza meg, hogyan épít fel titkosított alagutat az eszközöd és a szerver. A WireGuard a leggyorsabb és legegyszerűbb, az OpenVPN a legkiforrottabb és legrugalmasabb, az IKEv2/IPsec viseli legjobban a hálózatváltásokat mobilon, az Xray/VLESS pedig TLS felett úgy álcázza az alagút forgalmát, mintha közönséges HTTPS lenne. Mindegyik az erősségéért cserébe lemond valamiről.
14 napos pénzvisszafizetési garancia. Akár 7 eszköz egy előfizetéssel.
Védem az eszközeimet