VPN в общественном Wi‑Fi: от чего защищает и что делать без него

Что видит владелец публичного Wi‑Fi, если везде HTTPS

Лет пятнадцать назад в открытой сети можно было перехватить чужой вход в почту или соцсеть, потому что многие сайты шифровали только страницу с паролем, а остальное передавали открыто. Сейчас, по данным Google, на большинстве платформ по HTTPS открывается от 95 до 99% страниц в Chrome (блог Google). Содержимое этих страниц, пароли и номера карт владелец сети прочитать не может.

Но кое-что он видит и сейчас.

• Какие сайты вы открываете. Перед загрузкой страницы телефон спрашивает у DNS-сервера сети, по какому адресу находится сайт, и обычно делает это открытым текстом. Имя сайта к тому же, как правило, передаётся открыто в самом начале HTTPS-соединения.
• Когда и сколько. Время подключений и объём трафика видны всегда. По ним легко понять, например, что вы час смотрели видео.
• Ваше устройство. Сеть видит его аппаратный адрес. Современные iPhone и Android по умолчанию подставляют для каждой сети случайный адрес, но лучше проверить, что эта функция включена.
• Кто вы. В России в публичную сеть обычно входят по номеру телефона или через Госуслуги: правила оказания телематических услуг требуют, чтобы оператор связи идентифицировал пользователя и его оборудование в пунктах коллективного доступа (постановление правительства № 2607, пункт 21). Поэтому история подключений в такой сети привязана к вам лично.

Сайты без HTTPS и приложения, которые плохо проверяют сертификаты, всё ещё встречаются, чаще среди старых и небольших сервисов. Их трафик сеть видит целиком.

Пароль на стене кафе не делает сеть закрытой

Кажется, что сеть с паролем безопаснее открытой. От случайных прохожих пароль действительно защищает, от других посетителей — нет. В самом распространённом режиме WPA2-Personal ключи шифрования каждого подключения вычисляются из общего пароля, и человек, который знает пароль и перехватил момент вашего подключения, технически может расшифровать ваш трафик. Пароль написан на доске у кассы, так что знает его любой гость.

Более новый стандарт WPA3 эту проблему решает: у каждого устройства своё шифрование, даже если пароль общий. Но многие роутеры до сих пор работают в режиме WPA2, а режим сети в кафе выбираете не вы. Поэтому к сети с паролем на стене стоит относиться так же, как к открытой.

Кафе, отель, аэропорт, метро: чем отличаются публичные сети

Общие правила одинаковы, но у каждого места свои особенности.

В транспорте VPN-приложение иногда не успевает переподключиться и показывает ошибку. Обычно хватает подождать минуту или переключиться на мобильный интернет, чинить ничего не нужно.

Поддельная точка доступа — главный риск в кафе и аэропорту

Злоумышленнику не нужно взламывать сеть кафе. Достаточно поднять рядом свою точку с похожим или точно таким же названием. Телефон, который раньше подключался к открытой сети с этим именем, может подключиться к поддельной сам. Такую схему называют «злым двойником», по-английски evil twin.

Дальше в ход идёт фальшивая страница входа. Она выглядит как обычная авторизация в Wi‑Fi, только просит войти через почту или соцсеть и сохраняет введённый пароль. HTTPS тут не помогает: вы сами отдаёте данные на чужую страницу.

Такие случаи доходят до полиции. В июне 2024 года Федеральная полиция Австралии предъявила обвинения мужчине, который, по версии следствия, разворачивал поддельные бесплатные сети Wi‑Fi в аэропортах Перта, Мельбурна и Аделаиды и прямо на борту внутренних рейсов. Подключившихся отправляли на фальшивую страницу входа, где просили данные от почты или соцсетей. Расследование началось после того, как сотрудники авиакомпании заметили подозрительную сеть во время полёта (AFP).

Для подключения к бесплатной сети Wi‑Fi от вас не должны требовать никаких личных данных.

Детектив-инспектор Андреа Коулман, Федеральная полиция Австралии, июнь 2024 года

В России это правило работает с поправкой. Номер телефона, код из SMS или вход через Госуслуги — обычная часть входа в публичную сеть. А вот пароль от почты, соцсети или банка странице Wi‑Fi не нужен никогда. Если портал предлагает Госуслуги, посмотрите на адрес страницы: он должен быть на gosuslugi.ru, а не на похожем домене.

Как заподозрить поддельную сеть

• Рядом две сети с одинаковыми или почти одинаковыми названиями, а сотрудники знают только одну.
• Сеть открытая, хотя в этом месте обычно вход по паролю или по номеру телефона.
• Страница входа просит почту, пароль от соцсети, данные карты или предлагает скачать приложение.
• Адрес страницы входа странный, а браузер предупреждает о небезопасном подключении.
• Интернет работает без всякой страницы входа там, где она обычно есть.

Заметили что-то из этого — отключитесь, забудьте сеть и пользуйтесь мобильным интернетом. Если уже успели ввести пароль, смените его и включите двухфакторную аутентификацию.

Что меняет VPN в публичной сети

С включённым VPN устройство отправляет весь трафик в зашифрованном виде на сервер VPN-сервиса. Владелец Wi‑Fi видит одно соединение с одним сервером и объём данных. DNS-запросы при правильной настройке тоже идут внутри туннеля, так что список сайтов сеть больше не видит. Закрыто и то, с чем HTTPS не справляется: старые сайты без шифрования и приложения, которые небрежно проверяют сертификаты. Как VPN устроен в целом, мы объясняли в статье что такое VPN простыми словами.

При этом VPN не проверяет, куда вы вводите пароль. Если вы подключились к поддельной точке и ввели данные на её странице входа до включения VPN, туннель уже ничего не исправит. Против фишинговой ссылки из письма VPN тоже бесполезен: поддельный сайт банка получит пароль и через зашифрованный канал.

Чтобы защита работала, VPN должен действительно пускать через туннель весь трафик. Проверить это, включая утечки DNS, можно за пару минут по инструкции как проверить VPN.

Как подключаться в отеле и аэропорту: сначала страница входа, потом VPN

В отелях, аэропортах, поездах и метро сеть сначала показывает страницу входа: ввести номер комнаты, подтвердить телефон, согласиться с правилами. Её называют captive portal. Пока вы её не прошли, интернета нет и VPN подключиться не может. Мало того, включённый VPN или блокировка трафика без VPN могут помешать странице открыться.

Устроено это так: сеть перехватывает первый запрос устройства и подсовывает вместо ответа свою страницу. Если запрос ушёл в зашифрованный туннель, перехватить его сеть не может, страница не появляется, а VPN не может подключиться, потому что интернета ещё нет.

1. Спросите у сотрудника точное название сети. Если рядом две похожие сети, уточните, какая настоящая.
2. Подключитесь к сети с выключенным VPN.
3. Дождитесь, пока телефон сам откроет страницу входа. Если она не появилась, откройте браузер и перейдите на любой сайт: сеть перенаправит вас на свою страницу.
4. Пройдите вход, вводя только то, что нужно сети: номер телефона, код из SMS, номер комнаты.
5. Сразу после этого включите VPN и дождитесь, пока он подключится. Только потом открывайте почту, банк и рабочие сервисы.
6. Если через пару часов VPN перестал подключаться, проверьте, не просит ли сеть пройти вход повторно: во многих гостевых сетях сессия ограничена по времени.

Бывает, что VPN не подключается и после входа: некоторые гостевые сети пропускают только обычный веб-трафик. Типичные причины и что с ними делать собраны в статье VPN не подключается.

Привычки, которые защищают и без VPN

• Отключите автоподключение к открытым сетям. На iPhone нажмите на значок «i» рядом с сетью в списке Wi‑Fi и выключите «Автоподключение», а уходя, нажмите «Забыть эту сеть». На Android похожие пункты есть в свойствах сети.
• Проверьте, что включён частный адрес Wi‑Fi. На iPhone это переключатель «Частный адрес Wi‑Fi» в свойствах сети, на Android — настройка случайного MAC-адреса, тоже в свойствах сети.
• На ноутбуке с Windows 11 отметьте сеть как общедоступную: «Параметры» → «Сеть и Интернет» → «Wi‑Fi» → свойства сети → «Общедоступная сеть». Так ноутбук не будет виден другим устройствам в сети.
• На iPhone ограничьте AirDrop: «Настройки» → «Основные» → «AirDrop» → «Только для контактов». В переполненном зале ожидания чужие картинки и файлы до вас не дойдут.
• Не игнорируйте предупреждения браузера о сертификате. Если на сайте банка или почты браузер пишет, что подключение не защищено, закройте вкладку: так может выглядеть перехват.
• Не ставьте сертификаты, профили и приложения, которые просит установить страница входа. Обычной гостевой сети это не нужно.
• Платежи и вход в банк делайте через мобильный интернет, если он есть. Подделать сеть мобильного оператора намного сложнее, чем Wi‑Fi в кафе.
• Выключайте Wi‑Fi, когда он не нужен, например в дороге. Так телефон не подключится к чему-нибудь сам и заодно меньше расходует батарею.
• Обновляйте систему и браузер. Обновления закрывают уязвимости, через которые можно атаковать устройство в той же сети.
• Включите зашифрованный DNS. На Android 9 и новее есть настройка частного DNS; проще всего найти её поиском по слову DNS в настройках. Она прячет от сети DNS-запросы, но не имя сайта в начале соединения, так что VPN она не заменяет.

Что делать, если VPN нет или он не работает

Публичный Wi‑Fi без VPN вполне годится для новостей, карт, видео и переписки в мессенджерах. Для входа в банк, оплаты и рабочей почты лучше дождаться мобильного интернета или раздать его с телефона на ноутбук. На iPhone раздача включается в «Настройки» → «Режим модема», на Android — в настройках сети, в разделе «Точка доступа и модем» (на Samsung — «Подключения» → «Мобильная точка доступа и модем»). Поставьте на свою точку доступа пароль подлиннее: в людном месте к ней тоже могут попробовать подключиться.

Если VPN нужен постоянно, поставьте и проверьте его заранее, дома. Настраивать клиент в аэропорту, где интернет появляется только после страницы входа, неудобно. Пошаговые инструкции есть для iPhone и Android.

И держитесь подальше от неизвестных бесплатных VPN-приложений: в чужой сети они добавляют ещё одного посредника, о котором вы ничего не знаете. Что с ними бывает не так, мы разобрали в статье про бесплатные VPN.