Gidsen
Het klassieke schrikverhaal — iemand in een café die je wachtwoord uit de lucht plukt — is grotendeels achterhaald, omdat HTTPS de inhoud van vrijwel al je verbindingen al versleutelt. Wat op openbare wifi overblijft is subtieler: zichtbare metadata zoals domeinnamen, valse toegangspunten, captive portals en andere apparaten die het netwerk met je delen.
Vrijwel elke serieuze website en app versleutelt zijn verkeer van eind tot eind. Wachtwoorden, berichten en kaartnummers reizen binnen TLS, dus een meeluisteraar op caféwifi ziet onleesbare tekens, niet je data. Dat deel van de oude dreiging is grotendeels verdwenen.
Versleuteling verbergt wat je zegt, niet met wie je praat. DNS-opzoekingen en de servernamen in TLS-handshakes verraden welke sites en diensten je gebruikt, en de netwerkbeheerder of wie er ook maar tussenin zit, kan die lijst verzamelen.
Iedereen kan een hotspot uitzenden met de naam van het café of de luchthaven. Je apparaat kiest het sterkste vertrouwd ogende signaal, en vanaf dat moment is de aanvaller je gateway. Dát, niet wachtwoorden sniffen, is de realistische moderne aanval.
Minder dan de folklore zegt, meer dan nul. Tien jaar geleden draaide een groot deel van het web onversleuteld, en kon een laptop in de hoek werkelijk logins uit de lucht vangen. Vandaag is vrijwel al het verkeer dat ertoe doet in TLS gewikkeld: banken, mail, messengers en webwinkels versleutelen de inhoud tussen je apparaat en hun servers, op welk netwerk je ook zit.
Wat overleeft is een andere set risico's: metadata die de versleuteling niet dekt, toegangspunten die niet zijn wat ze beweren, portaalpagina's die om persoonsgegevens vragen, en het simpele feit dat je een lokaal netwerk deelt met vreemden.
TLS verbergt de inhoud van je verkeer, maar niet de bestemmingen. Wanneer je apparaat een hostnaam opzoekt, is dat DNS-verzoek vaak leesbaar voor het netwerk, en bij het openen van een TLS-verbinding staat de servernaam meestal in klare tekst in de handshake — het SNI-veld. Wie de hotspot beheert of afluistert, kan een keurig lijstje opbouwen van elke site en app die je aanraakte, met tijdstempels.
Voor de meeste mensen is dit een privacykwestie, geen noodgeval: de lijst domeinen die je bezoekt zegt veel over je, en op een openbaar netwerk heb je geen idee wie hem verzamelt of waarom. Versleutelde DNS verkleint het lek, maar haalt SNI niet weg.
Dit is het ene gat dat een VPN op vijandige netwerken volledig dicht: binnen de tunnel zijn DNS en handshakes onzichtbaar voor de hotspot, die alleen ziet dat je met een VPN-server verbonden bent.
Niets weerhoudt iemand ervan een wifi-netwerk uit te zenden met de naam van het café, hotel of vliegveld waar je zit. Apparaten stappen gretig in op het sterkste signaal met een bekende naam, en telefoons die oude netwerken onthouden, verbinden automatisch opnieuw met een lookalike — zonder dat jij iets aanraakt.
Zit je eenmaal op het toegangspunt van een aanvaller, dan is die je gateway: hij wijst je DNS toe, routeert elk pakket en kan proberen je om te leiden naar overtuigende neppagina's. TLS beschermt goed beveiligde sites nog steeds — je browser waarschuwt luidkeels als iemand ze nadoet — maar alles wat onversleuteld is, elke app die certificaatfouten negeert en alles wat je intikt op een pagina die de aanvaller serveert, ligt open.
De praktische verdediging is weinig glamoureus: zet automatisch verbinden voor openbare netwerken uit, vergeet hotspots die je niet meer gebruikt, en negeer nooit een certificaatwaarschuwing terwijl je op zo'n netwerk zit.
De pagina die je begroet op hotel- of luchthavenwifi — die om een kamernummer, e-mailadres of social login vraagt — verdient zelf ook argwaan. Ze draait met de rechten van de netwerkbeheerder en is op een valse hotspot kinderlijk eenvoudig na te maken.
Geef portals het minimum: een wegwerpmailadres als een veld verplicht is, nooit een wachtwoord dat je ergens anders gebruikt, en nooit kaartgegevens. Een portal heeft geen enkele legitieme reden om betaalgegevens te vragen voor gratis wifi.
Eén praktische noot: VPN-apps kunnen meestal pas verbinden nadat het portal is afgerond, omdat het netwerk al het andere blokkeert. Rond het portal af en controleer daarna dat de tunnel staat voordat je iets gevoeligs doet. De apps van Aurora verbinden automatisch opnieuw zodra het netwerk verkeer begint door te laten.
Op openbare wifi doet een VPN één ding buitengewoon goed: hij maakt het lokale netwerk irrelevant. De hotspot, zijn beheerder en iedereen erop zien één versleutelde stroom naar een VPN-server — geen DNS-verzoeken, geen SNI, geen bestemmingen, niets om om te leiden. Protocollen als WireGuard doen dit tegen weinig batterij- of snelheidskosten, dus hem aan laten staan is realistisch.
Wat een VPN níét doet, telt ook. Hij keurt de portaalpagina waarin je tikt niet, beschermt geen apparaat dat bestandsdeling openstelt voor het lokale subnet, en maakt een phishingsite niet legitiem. Hij verplaatst je vertrouwen van een onbekende hotspot naar de aanbieder die jij hebt gekozen — een goede ruil, geen toverstaf.
Het meeste van de echte bescherming komt van een handvol instellingen die je één keer regelt, plus twee gewoonten die je vasthoudt. Niets hiervan vraagt expertise.
De instellingen doen ertoe omdat aanvallen op openbare wifi opportunistisch zijn: ze oogsten wat de zorgeloze meerderheid blootlegt. Een gepatcht apparaat dat nergens automatisch op inlogt, lokaal niets deelt en zijn verkeer tunnelt, is simpelweg geen lonend doelwit.
Om je IP-adres te verbergen, leid je je verkeer via een andere server, zodat websites diens adres zien in plaats van dat van jou. Een VPN doet dat voor alles op het apparaat, een proxy voor één app, en Tor voor maximale verhulling ten koste van snelheid. Je IP verbergen verandert wat sites zien, niet wie je bent.
"No logs" betekent bijna nooit dat een dienst niets vastlegt. Meestal betekent het: geen activiteitenlogs — geen registratie van de sites die je bezoekt of de data die je verstuurt. Verbindingsmetadata, diagnostiek en betaalgegevens zijn aparte categorieën, en elke aanbieder definieert ze anders. Het privacybeleid, niet de slogan, vertelt je welke worden bewaard.
Een VPN-protocol bepaalt hoe je apparaat en de server een versleutelde tunnel opbouwen. WireGuard is de snelste en eenvoudigste, OpenVPN de meest volwassen en flexibele, IKEv2/IPsec de beste in het overleven van netwerkwissels op mobiel, en Xray/VLESS over TLS laat tunnelverkeer op gewoon HTTPS lijken. Elk ruilt iets in voor zijn sterke punt.
14 dagen geld-terug-garantie. Tot 7 apparaten op één abonnement.
Mijn apparaten beschermen