Guias
A história de terror clássica — alguém na cafeteria roubando sua senha pelo ar — está quase obsoleta, porque o HTTPS já criptografa o conteúdo de praticamente todas as suas conexões. O que resta no Wi-Fi público é mais sutil: metadados visíveis como nomes de domínio, pontos de acesso falsos, portais de login e outros dispositivos dividindo a rede com você.
Quase todo site e app sério criptografa o tráfego de ponta a ponta. Senhas, mensagens e números de cartão viajam dentro do TLS, então um bisbilhoteiro no Wi-Fi da cafeteria vê texto cifrado, não os seus dados. Essa parte da ameaça antiga praticamente acabou.
A criptografia esconde o que você diz, não com quem você fala. As consultas DNS e os nomes de servidor no handshake TLS revelam quais sites e serviços você usa, e o operador da rede — ou qualquer um bem posicionado nela — pode colecionar essa lista.
Qualquer um pode transmitir um hotspot com o nome da cafeteria ou do aeroporto. Seu dispositivo entra no sinal mais forte com cara conhecida, e dali em diante o atacante é o seu gateway. É isso, e não a captura de senhas, o ataque moderno realista.
Menos do que diz o folclore, mais do que zero. Uma década atrás boa parte da web rodava sem criptografia, e um notebook no canto realmente conseguia capturar logins pelo ar. Hoje quase todo tráfego relevante vem embrulhado em TLS: bancos, e-mail, mensageiros e lojas criptografam o conteúdo entre o seu dispositivo e os servidores deles, esteja você na rede que estiver.
O que sobrevive é um conjunto diferente de riscos: metadados que a criptografia não cobre, pontos de acesso que não são o que dizem ser, páginas de portal que pedem dados pessoais, e o simples fato de você dividir uma rede local com estranhos.
O TLS esconde o conteúdo do seu tráfego, mas não os destinos. Quando o seu dispositivo resolve um nome de host, essa consulta DNS muitas vezes é legível pela rede, e quando ele abre uma conexão TLS, o nome do servidor normalmente aparece em texto claro no handshake — o campo SNI. Quem opera ou observa o hotspot consegue montar uma lista arrumadinha de cada site e app que você tocou, com hora marcada.
Para a maioria das pessoas isso é uma questão de privacidade, não uma emergência: a lista de domínios que você visita diz muito sobre você, e numa rede pública você não faz ideia de quem a coleta nem por quê. DNS criptografado estreita o vazamento, mas não elimina o SNI.
Essa é a lacuna que uma VPN fecha por completo em redes hostis: dentro do túnel, DNS e handshakes ficam invisíveis para o hotspot, que vê apenas que você está conectado a um servidor de VPN.
Nada impede ninguém de transmitir uma rede Wi-Fi com o nome da cafeteria, do hotel ou do aeroporto em que você está. Os dispositivos entram alegremente no sinal mais forte com nome familiar, e celulares que lembram redes antigas reconectam a uma sósia automaticamente, sem você encostar em nada.
Uma vez no ponto de acesso do atacante, ele é o seu gateway: atribui o seu DNS, roteia cada pacote e pode tentar redirecionar você para páginas falsas convincentes. O TLS ainda protege os sites bem configurados — o navegador vai reclamar alto se alguém tentar se passar por eles — mas qualquer coisa sem criptografia, qualquer app que ignore erros de certificado e qualquer coisa que você digite numa página servida pelo atacante fica exposta.
As defesas práticas são sem glamour: desligue a conexão automática a redes públicas, esqueça hotspots que não usa mais e nunca ignore um aviso de certificado enquanto estiver numa delas.
A página que recebe você no Wi-Fi do hotel ou do aeroporto — pedindo número do quarto, e-mail ou login social — merece, ela mesma, desconfiança. Ela roda com os privilégios do operador da rede e é trivial de imitar num hotspot falso.
Dê aos portais o mínimo: um e-mail descartável se o campo for obrigatório, nunca uma senha que você usa em outro lugar, e nunca dados de cartão. Um portal não tem motivo legítimo para pedir credenciais de pagamento em troca de Wi-Fi grátis.
Uma nota prática: apps de VPN normalmente não conseguem conectar até o portal ser concluído, porque a rede bloqueia todo o resto. Termine o portal e depois confirme que o túnel está de pé antes de fazer qualquer coisa sensível. Os apps da Aurora reconectam automaticamente assim que a rede começa a passar tráfego.
No Wi-Fi público a VPN faz um trabalho extremamente bem: torna a rede local irrelevante. O hotspot, o operador dele e qualquer outra pessoa ali veem um único fluxo criptografado até um servidor de VPN — sem consultas DNS, sem SNI, sem destinos, nada para redirecionar. Protocolos como o WireGuard fazem isso com pouco custo de bateria e velocidade, então deixá-la ligada é realista.
O que a VPN não faz também importa. Ela não avalia a página de portal em que você digita, não protege um dispositivo com compartilhamento de arquivos exposto à sub-rede local e não torna legítimo um site de phishing. Ela move a sua confiança de um hotspot desconhecido para o provedor que você escolheu — uma troca boa, não mágica.
A maior parte da proteção real vem de um punhado de configurações feitas uma vez, mais dois hábitos mantidos. Nada disso exige ser especialista.
As configurações importam porque os ataques em Wi-Fi público são oportunistas: colhem o que a maioria descuidada expõe. Um dispositivo atualizado que não entra em rede nenhuma sozinho, não compartilha nada localmente e tunela o próprio tráfego simplesmente não é um alvo que valha a pena.
Para esconder o seu endereço IP, roteie o tráfego por outro servidor, de modo que os sites vejam o endereço dele em vez do seu. A VPN faz isso para tudo no dispositivo, o proxy para um app, e o Tor para a máxima ofuscação ao custo da velocidade. Esconder o IP muda o que os sites veem, não quem você é.
"Sem logs" quase nunca significa que o serviço não registra nada. Normalmente significa sem logs de atividade: nenhum registro dos sites que você visita ou dos dados que transfere. Metadados de conexão, diagnósticos e registros de pagamento são categorias à parte, e cada provedor as define de um jeito. Quem conta quais delas são guardadas é a política de privacidade, não o slogan.
Um protocolo de VPN define como o seu dispositivo e o servidor constroem o túnel criptografado. O WireGuard é o mais rápido e simples, o OpenVPN o mais maduro e flexível, o IKEv2/IPsec o que melhor sobrevive à troca de rede no celular, e o Xray/VLESS sobre TLS faz o tráfego do túnel parecer HTTPS comum. Cada um troca alguma coisa pela sua força.
Garantia de reembolso de 14 dias. Até 7 dispositivos em uma única assinatura.
Proteger meus dispositivos