Poradniki
Klasyczna straszna historia — ktoś w kawiarni wykrada Twoje hasło z powietrza — jest w większości nieaktualna, bo HTTPS szyfruje już treść niemal wszystkich Twoich połączeń. To, co zostaje w publicznym Wi-Fi, jest subtelniejsze: widoczne metadane, takie jak nazwy domen, fałszywe punkty dostępowe, portale logowania i inne urządzenia dzielące z Tobą sieć.
Prawie każda poważna strona i aplikacja szyfruje ruch od końca do końca. Hasła, wiadomości i numery kart podróżują wewnątrz TLS, więc podsłuchiwacz na kawiarnianym Wi-Fi widzi szyfrogram, nie Twoje dane. Ta część dawnego zagrożenia w dużej mierze zniknęła.
Szyfrowanie ukrywa, co mówisz, a nie z kim rozmawiasz. Zapytania DNS i nazwy serwerów w handshake'ach TLS zdradzają, z jakich stron i usług korzystasz, a operator sieci lub ktokolwiek w niej usadowiony może tę listę zbierać.
Każdy może nadawać hotspot nazwany jak kawiarnia czy lotnisko. Twoje urządzenie dołącza do najsilniejszego znajomo wyglądającego sygnału i od tej chwili napastnik jest Twoją bramą. To — a nie podsłuchiwanie haseł — jest realistycznym współczesnym atakiem.
Mniej, niż głosi folklor, i więcej niż zero. Dekadę temu spora część sieci działała bez szyfrowania i laptop w kącie naprawdę mógł łapać loginy z powietrza. Dziś niemal cały istotny ruch jest opakowany w TLS: bankowość, poczta, komunikatory i sklepy szyfrują treść między Twoim urządzeniem a swoimi serwerami niezależnie od sieci, w której siedzisz.
Przetrwał inny zestaw ryzyk: metadane, których szyfrowanie nie obejmuje, punkty dostępowe, które nie są tym, za co się podają, strony portali proszące o dane osobowe, i prosty fakt, że dzielisz lokalną sieć z obcymi.
TLS ukrywa treść Twojego ruchu, ale nie jego cele. Gdy urządzenie tłumaczy nazwę hosta, to zapytanie DNS jest często czytelne dla sieci, a gdy otwiera połączenie TLS, nazwa serwera zwykle pojawia się otwartym tekstem w handshake'u — w polu SNI. Ktokolwiek prowadzi hotspot albo go obserwuje, może zbudować schludną, opatrzoną znacznikami czasu listę każdej strony i aplikacji, której dotknąłeś.
Dla większości ludzi to kwestia prywatności, a nie stan wyjątkowy: lista odwiedzanych domen mówi o Tobie dużo, a w publicznej sieci nie masz pojęcia, kto ją zbiera i po co. Szyfrowany DNS zawęża wyciek, ale nie usuwa SNI.
To jest ta jedna luka, którą VPN we wrogich sieciach domyka całkowicie: wewnątrz tunelu DNS i handshake'i są dla hotspotu niewidoczne — widzi on tylko, że masz połączenie z serwerem VPN.
Nic nie powstrzymuje nikogo przed nadawaniem sieci Wi-Fi nazwanej jak kawiarnia, hotel czy lotnisko, w którym jesteś. Urządzenia ochoczo dołączają do najsilniejszego sygnału ze znajomą nazwą, a telefony pamiętające stare sieci połączą się z podróbką automatycznie, bez Twojego udziału.
Gdy już jesteś na punkcie dostępowym napastnika, jest on Twoją bramą: przydziela Ci DNS, routuje każdy pakiet i może próbować przekierować Cię na przekonujące fałszywe strony. TLS wciąż chroni poprawnie zabezpieczone witryny — przeglądarka głośno ostrzeże, jeśli ktoś się pod nie podszywa — ale wszystko nieszyfrowane, każda aplikacja ignorująca błędy certyfikatów i wszystko, co wpiszesz na stronie serwowanej przez napastnika, jest odsłonięte.
Praktyczne obrony są mało efektowne: wyłącz automatyczne dołączanie do publicznych sieci, zapominaj hotspoty, których już nie używasz, i nigdy nie ignoruj ostrzeżenia o certyfikacie, gdy jesteś w takiej sieci.
Strona, która wita Cię na hotelowym czy lotniskowym Wi-Fi — prosząc o numer pokoju, adres e-mail albo logowanie kontem społecznościowym — sama zasługuje na podejrzliwość. Działa z uprawnieniami operatora sieci i banalnie łatwo ją podrobić na fałszywym hotspocie.
Dawaj portalom minimum: jednorazowy e-mail, jeśli pole jest obowiązkowe, nigdy hasła używanego gdziekolwiek indziej i nigdy danych karty. Portal nie ma żadnego uzasadnionego powodu, by prosić o dane płatnicze w zamian za darmowe Wi-Fi.
Jedna praktyczna uwaga: aplikacje VPN zwykle nie mogą się połączyć, dopóki portal nie zostanie ukończony, bo sieć blokuje całą resztę. Dokończ portal, a potem upewnij się, że tunel działa, zanim zrobisz cokolwiek wrażliwego. Aplikacje Aurora łączą się ponownie automatycznie, gdy tylko sieć zacznie przepuszczać ruch.
W publicznym Wi-Fi VPN wykonuje jedno zadanie znakomicie: czyni lokalną sieć nieistotną. Hotspot, jego operator i wszyscy inni w sieci widzą pojedynczy zaszyfrowany strumień do serwera VPN — żadnych zapytań DNS, żadnego SNI, żadnych celów, niczego do przekierowania. Protokoły takie jak WireGuard robią to przy niewielkim koszcie baterii i prędkości, więc trzymanie tunelu włączonego jest realistyczne.
To, czego VPN nie robi, też ma znaczenie. Nie prześwietla strony portalu, w którą wpisujesz dane, nie chroni urządzenia z udostępnianiem plików wystawionym na lokalną podsieć i nie czyni strony phishingowej prawdziwą. Przenosi Twoje zaufanie z nieznanego hotspotu na wybranego przez Ciebie dostawcę — dobra zamiana, ale nie magiczna.
Większość realnej ochrony pochodzi z garści ustawień konfigurowanych raz plus dwóch nawyków, które utrzymujesz. Nic z tego nie wymaga eksperckiej wiedzy.
Ustawienia mają znaczenie, bo ataki na publiczne Wi-Fi są oportunistyczne: zbierają to, co odsłania niedbała większość. Załatane urządzenie, które do niczego nie dołącza automatycznie, niczego lokalnie nie udostępnia i tuneluje swój ruch, po prostu nie jest wartym zachodu celem.
Aby ukryć adres IP, poprowadź ruch przez inny serwer — strony zobaczą wtedy jego adres zamiast Twojego. VPN robi to dla wszystkiego na urządzeniu, proxy dla jednej aplikacji, a Tor daje maksymalne zaciemnienie kosztem prędkości. Ukrycie IP zmienia to, co widzą strony, a nie to, kim jesteś.
„No logs” prawie nigdy nie znaczy, że usługa nie zapisuje niczego. Zwykle znaczy: brak logów aktywności — żadnych zapisów o odwiedzanych stronach ani przesyłanych danych. Metadane połączeń, diagnostyka i dokumenty płatności to osobne kategorie, a każdy dostawca definiuje je po swojemu. O tym, które z nich są przechowywane, mówi polityka prywatności, nie slogan.
Protokół VPN określa, jak Twoje urządzenie i serwer budują szyfrowany tunel. WireGuard jest najszybszy i najprostszy, OpenVPN — najdojrzalszy i najbardziej elastyczny, IKEv2/IPsec najlepiej znosi zmiany sieci na komórce, a Xray/VLESS po TLS sprawia, że ruch tunelu wygląda jak zwykły HTTPS. Każdy coś oddaje w zamian za swoją mocną stronę.
14 dni gwarancji zwrotu pieniędzy. Do 7 urządzeń na jednej subskrypcji.
Chroń moje urządzenia