公共Wi-Fi：真正威胁你的是什么

公共Wi-Fi现在还危险吗

比传说中的轻，但不是零。十年前，网络上很大一部分流量不加密，角落里的一台笔记本确实能隔空截获登录信息。今天，几乎所有要紧的流量都裹在 TLS 里：银行、邮件、聊天软件和网店，不管你坐在什么网络上，内容在你的设备与它们的服务器之间都是加密的。

留下来的是另一组风险：加密覆盖不到的元数据、名不副实的接入点、索要个人信息的登录页，还有一个朴素的事实——你和陌生人共享着同一个局域网。

网络仍能看到什么：DNS与SNI

TLS 藏住了流量的内容，藏不住它的去向。设备解析主机名时，那条 DNS 查询往往能被网络读到；建立 TLS 连接时，服务器名通常以明文出现在握手里——即 SNI 字段。经营或监视这个热点的人，可以把你碰过的每个网站和应用整理成一份带时间戳的清单。

对多数人来说，这是隐私问题而非燃眉之急：你访问的域名列表能说明你很多事，而在公共网络上，你根本不知道是谁在收集、为了什么。加密 DNS 能缩小泄漏面，但去不掉 SNI。

这正是 VPN 在不友好网络上能完全堵上的那个缺口：在隧道里，DNS 和握手对热点全部不可见，它只能看出你连着一台 VPN 服务器。

假热点与山寨网络

没有什么能阻止别人广播一个以你所在的咖啡馆、酒店或机场命名的 Wi-Fi。设备会欢天喜地地连上名字眼熟、信号最强的那个；记住过旧网络的手机，还会自动重连到山寨货上，你连手指都不用动。

一旦你上了攻击者的接入点，他就是你的网关：由他分配你的 DNS、转发你的每个数据包，还可以尝试把你引到以假乱真的钓鱼页面。TLS 依然保护着配置得当的网站——有人冒充它们时浏览器会大声警告——但任何未加密的内容、任何无视证书错误的应用，以及你在攻击者递上来的页面里敲下的一切，都在裸奔。

实用的防御毫不炫酷：关闭公共网络的自动连接，忘掉不再使用的热点，在公共网络上永远不要无视证书警告。

强制登录页（Captive Portal）

酒店或机场 Wi-Fi 上迎接你的那个页面——要房间号、要邮箱、要社交账号登录——本身就值得多留个心眼。它以网络运营者的权限运行，而在假热点上仿造一个易如反掌。

给这类页面最少的信息：字段非填不可就填个一次性邮箱，绝不填你在别处用的密码，绝不填银行卡信息。为了给你免费 Wi-Fi 而索要支付凭据，没有任何正当理由。

一个实用提示：在登录页完成之前，VPN 应用通常连不上，因为网络把其他一切都拦着。先过完登录页，确认隧道已建立，再做任何敏感的事。网络开始放行流量后，Aurora 的应用会自动重连。

在这里VPN能做什么，不能做什么

在公共 Wi-Fi 上，VPN 把一件事做到了极致：让本地网络变得无关紧要。热点、它的运营者以及网络上的其他人，只能看到一条通往 VPN 服务器的加密流——没有 DNS 查询、没有 SNI、没有目的地、没有可供劫持的东西。WireGuard 这类协议做到这一切几乎不费电也不费速度，所以一直开着完全现实。

VPN 做不到的事同样要紧。它不替你审查你正在填写的登录页，保护不了向局域网敞开文件共享的设备，也不能把钓鱼网站洗白。它把你的信任从一个来路不明的热点，转移到你自己挑选的服务商身上——是一笔划算的交易，但不是魔法。

公共网络上的实用习惯

真正的保护大多来自一次性配好的几个设置，外加两个坚持下去的习惯。这些都不需要专业知识。

这些设置之所以有效，是因为公共 Wi-Fi 上的攻击是机会主义的：它们收割的是粗心大意的大多数暴露出来的东西。一台补丁齐全、不自动连任何网、不向局域网共享任何东西、流量全走隧道的设备，根本不是值得下手的目标。

• 保持系统和浏览器更新——现实中的入侵大多利用的是已知且早已修补的漏洞
• 关闭开放网络的自动连接，定期清理保存过的旧热点
• 在不受你控制的网络上，关掉文件、打印机和隔空投送类共享
• 在公共网络上，永远不要点掉证书警告继续访问
• 对强制登录页只给最少信息，绝不给复用的密码或卡号
• 过完登录页就打开 VPN，并在整个会话期间一直开着