Ghiduri
Povestea clasică de speriat — cineva dintr-o cafenea îți fură parola din aer — e în mare parte depășită, pentru că HTTPS criptează deja conținutul aproape tuturor conexiunilor tale. Ce rămâne pe Wi-Fi-ul public e mai subtil: metadate vizibile, cum ar fi numele de domenii, puncte de acces false, portaluri captive și alte dispozitive care folosesc aceeași rețea cu tine.
Aproape orice site și aplicație serioasă își criptează traficul de la un capăt la altul. Parolele, mesajele și numerele de card circulă în interiorul TLS, așa că cineva care trage cu ochiul pe Wi-Fi-ul cafenelei vede text cifrat, nu datele tale. Partea asta din vechea amenințare a dispărut în mare măsură.
Criptarea ascunde ce spui, nu cu cine vorbești. Interogările DNS și numele serverelor din handshake-urile TLS dezvăluie ce site-uri și servicii folosești, iar operatorul rețelei sau oricine este poziționat pe ea poate strânge lista respectivă.
Oricine poate emite un hotspot numit după cafenea sau aeroport. Dispozitivul tău se conectează la cel mai puternic semnal cu nume cunoscut, iar din acel moment atacatorul este gateway-ul tău. Acesta, nu interceptarea parolelor, este atacul modern realist.
Mai puțin decât spune folclorul, mai mult decât zero. Acum un deceniu, o mare parte din web rula necriptat, iar un laptop din colț chiar putea capta datele de autentificare din aer. Astăzi, aproape tot traficul important este împachetat în TLS: băncile, e-mailul, aplicațiile de mesagerie și magazinele criptează conținutul între dispozitivul tău și serverele lor, indiferent de rețeaua în care te afli.
Ce supraviețuiește este un alt set de riscuri: metadate pe care criptarea nu le acoperă, puncte de acces care nu sunt ceea ce pretind, pagini de portal care îți cer date personale și simplul fapt că împarți o rețea locală cu străini.
TLS ascunde conținutul traficului tău, dar nu și destinațiile lui. Când dispozitivul tău caută un hostname, interogarea DNS respectivă este adesea lizibilă pentru rețea, iar când deschide o conexiune TLS, numele serverului apare de obicei în clar în handshake — câmpul SNI. Cine administrează sau urmărește hotspotul poate alcătui o listă ordonată cu fiecare site și aplicație pe care le-ai atins, cu tot cu ora exactă.
Pentru majoritatea oamenilor, aceasta este mai degrabă o problemă de confidențialitate decât o urgență: lista domeniilor pe care le vizitezi spune multe despre tine, iar într-o rețea publică nu ai idee cine o colectează sau de ce. DNS-ul criptat reduce scurgerea, dar nu elimină SNI.
Aceasta este singura breșă pe care un VPN o închide complet în rețelele ostile: în interiorul tunelului, DNS-ul și handshake-urile sunt invizibile pentru hotspot, care vede doar că ești conectat la un server VPN.
Nimic nu împiedică pe nimeni să emită o rețea Wi-Fi numită după cafeneaua, hotelul sau aeroportul în care te afli. Dispozitivele se conectează bucuroase la cel mai puternic semnal cu un nume familiar, iar telefoanele care țin minte rețelele vechi se vor reconecta automat la o clonă, fără să atingi nimic.
Odată ce ești în punctul de acces al unui atacator, el devine gateway-ul tău: el îți stabilește DNS-ul, rutează fiecare pachet și poate încerca să te redirecționeze către pagini false convingătoare. TLS protejează în continuare site-urile securizate corect — browserul te va avertiza zgomotos dacă cineva le imită — dar orice e necriptat, orice aplicație care ignoră erorile de certificat și orice tastezi într-o pagină servită de atacator este expus.
Apărările practice sunt lipsite de glamour: dezactivează conectarea automată la rețelele publice, uită hotspoturile pe care nu le mai folosești și nu ignora niciodată un avertisment de certificat cât timp ești într-o astfel de rețea.
Pagina care te întâmpină pe Wi-Fi-ul de hotel sau aeroport — cerându-ți un număr de cameră, o adresă de e-mail sau o autentificare prin rețele sociale — merită și ea tratată cu suspiciune. Rulează cu privilegiile operatorului rețelei și este banal de imitat pe un hotspot fals.
Oferă portalurilor minimul: un e-mail de unică folosință dacă un câmp este obligatoriu, niciodată o parolă pe care o folosești în altă parte și niciodată datele cardului. Un portal nu are niciun motiv legitim să-ți ceară date de plată ca să-ți ofere Wi-Fi gratuit.
O observație practică: aplicațiile VPN de obicei nu se pot conecta până nu completezi portalul, pentru că rețeaua blochează orice altceva. Termină cu portalul, apoi confirmă că tunelul este activ înainte să faci ceva sensibil. Aplicațiile Aurora se reconectează automat de îndată ce rețeaua începe să lase traficul să treacă.
Pe Wi-Fi public, un VPN face un singur lucru extrem de bine: face rețeaua locală irelevantă. Hotspotul, operatorul lui și oricine altcineva din rețea văd un singur flux criptat către un server VPN — fără interogări DNS, fără SNI, fără destinații, nimic de redirecționat. Protocoale precum WireGuard fac asta cu un consum minim de baterie și viteză, așa că e realist să-l lași pornit.
Contează și ce nu face un VPN. Nu verifică pagina portalului în care introduci date, nu protejează un dispozitiv care are partajarea de fișiere expusă către rețeaua locală și nu transformă un site de phishing într-unul legitim. Îți mută încrederea de la un hotspot necunoscut la furnizorul pe care l-ai ales — un schimb bun, nu unul magic.
Cea mai mare parte a protecției reale vine din câteva setări pe care le configurezi o singură dată, plus două obiceiuri pe care le păstrezi. Nimic din toate acestea nu necesită cunoștințe de specialitate.
Setările contează pentru că atacurile pe Wi-Fi public sunt oportuniste: culeg tot ce expune majoritatea neatentă. Un dispozitiv actualizat, care nu se conectează automat la nimic, nu partajează nimic local și își trece traficul prin tunel, pur și simplu nu e o țintă care să merite efortul.
Ca să-ți ascunzi adresa IP, trimite-ți traficul printr-un alt server, astfel încât site-urile să vadă adresa acestuia în locul adresei tale. Un VPN face asta pentru tot ce rulează pe dispozitiv, un proxy pentru o singură aplicație, iar Tor oferă obfuscare maximă, cu prețul vitezei. Ascunderea IP-ului schimbă ce văd site-urile, nu cine ești.
„Fără loguri” aproape niciodată nu înseamnă că un serviciu nu înregistrează nimic. De obicei înseamnă fără loguri de activitate: nicio evidență a site-urilor pe care le vizitezi sau a datelor pe care le transferi. Metadatele de conexiune, diagnosticele și evidențele de plată sunt categorii separate, iar fiecare furnizor le definește altfel. Politica de confidențialitate, nu sloganul, îți spune care dintre ele sunt păstrate.
Un protocol VPN definește modul în care dispozitivul tău și serverul construiesc un tunel criptat. WireGuard este cel mai rapid și cel mai simplu, OpenVPN cel mai matur și mai flexibil, IKEv2/IPsec se descurcă cel mai bine la schimbarea rețelelor pe mobil, iar Xray/VLESS peste TLS face ca traficul din tunel să arate ca un HTTPS obișnuit. Fiecare sacrifică ceva pentru punctul său forte.
Garanție de returnare a banilor în 14 zile. Până la 7 dispozitive cu un singur abonament.
Protejează-mi dispozitivele