Publiczne Wi-Fi na wakacjach: czego nie robić w hotelowej sieci

Pierwsza rzecz, którą robi większość ludzi po wejściu do hotelowego pokoju, to nie rozpakowanie walizki, tylko pytanie w recepcji o hasło do Wi-Fi. Rozumiem, sam tak robię. Tylko że zaraz potem wielu z nas loguje się do banku, poczty i wszystkich możliwych kont, jakby siedzieli w domu.

Dobra wiadomość: dziś to jest dużo mniej ryzykowne niż kiedyś. Zła: „mniej ryzykowne” nie znaczy „bez ryzyka”.

Dlaczego jest lepiej niż kiedyś

Zdecydowana większość stron i aplikacji używa dziś szyfrowanego połączenia HTTPS. W praktyce oznacza to, że nawet jeśli ktoś w tej samej sieci podsłuchuje ruch, widzi głównie, z jakimi serwerami się łączysz, ale nie to, co wpisujesz. Twoje hasło do banku leci w zaszyfrowanej kopercie.

Aplikacje bankowe mają dodatkowe zabezpieczenia, a przeglądarki głośno ostrzegają, gdy coś jest nie tak z certyfikatem strony. Te ostrzeżenia to nie jest biurokracja, tylko alarm. Jeśli w hotelowej sieci przeglądarka krzyczy, że połączenie nie jest prywatne, nie klikaj „kontynuuj mimo to”.

Co naprawdę grozi w publicznej sieci

Fałszywa sieć o znajomej nazwie

Ktoś może postawić własny punkt dostępu o nazwie „Hotel_Guest_Free” albo „Airport WiFi”, identycznej lub podobnej do prawdziwej. Łączysz się z nim, a cały twój ruch przechodzi przez jego urządzenie. HTTPS wciąż chroni treść, ale taka sieć może pokazywać ci fałszywe strony logowania.

Jak się bronić: pytaj obsługę o dokładną nazwę sieci. Jeśli widzisz dwie podobne, a jedna nie ma hasła, to jest czerwona lampka.

Strona logowania do sieci, która chce za dużo

Wiele hotelowych i lotniskowych sieci po połączeniu pokazuje stronę, na której trzeba zaakceptować regulamin albo wpisać numer pokoju. To normalne. Nienormalne jest, gdy taka strona prosi o dane karty płatniczej, hasło do poczty albo instalację aplikacji „do połączenia z internetem”. Wtedy odłącz się.

Twój własny komputer, który za dużo pokazuje

Laptop ustawiony w domu jako „sieć prywatna” może udostępniać pliki, drukarki i foldery innym urządzeniom w sieci. W domu to wygoda. W hotelu dzielisz sieć z setką obcych ludzi.

Stare, nieaktualne oprogramowanie

Większość realnych ataków wykorzystuje dziury, które producenci dawno załatali. Telefon, który od pół roku odkłada aktualizację, jest łatwiejszym celem w każdej sieci, nie tylko publicznej.

Czego nie robić w hotelowej sieci

• Nie klikaj „kontynuuj mimo to” przy ostrzeżeniach o certyfikacie.
• Nie instaluj niczego, o co prosi strona logowania do sieci.
• Nie podawaj danych karty na stronie Wi-Fi, chyba że płacisz za internet bezpośrednio w oficjalnym systemie hotelu i jesteś tego pewny.
• Nie loguj się do ważnych kont na cudzych komputerach, na przykład w hotelowym „business center”. To większe ryzyko niż samo Wi-Fi, bo nie wiesz, co jest na tym komputerze zainstalowane.
• Nie zostawiaj włączonego udostępniania plików.

Co ustawić przed wyjazdem

Dziesięć minut w domu oszczędza nerwów na miejscu.

Telefon

1. Zainstaluj wszystkie zaległe aktualizacje systemu i aplikacji.
2. Wyłącz automatyczne łączenie z otwartymi sieciami, jeśli telefon ma taką opcję.
3. Sprawdź, czy blokada ekranu jest ustawiona i czy działa zdalne lokalizowanie telefonu. W podróży telefon łatwiej zgubić niż się zhakować.
4. Sprawdź warunki roamingu u swojego operatora. W krajach Unii Europejskiej zasada „roam like at home” sprawia, że dane komórkowe często są najwygodniejszą i bezpieczniejszą alternatywą dla hotelowego Wi-Fi, choć operator może stosować limity uczciwego korzystania.

Laptop

1. Aktualizacje systemu i przeglądarki.
2. Przy łączeniu z siecią w hotelu wybierz profil „publiczna” (w Windows) albo upewnij się, że udostępnianie jest wyłączone (w macOS w ustawieniach udostępniania).
3. Włącz zaporę sieciową, jeśli z jakiegoś powodu była wyłączona.

Konta

Włącz weryfikację dwuetapową na poczcie i najważniejszych kontach. Nawet jeśli ktoś przechwyci hasło, bez drugiego składnika nie wejdzie. Hasła trzymaj w menedżerze, bo on nie wpisze hasła na fałszywej stronie logowania. Jak to ustawić w praktyce, opisałem przy menedżerze haseł dla rodziców.

A co z VPN?

VPN tworzy szyfrowany tunel między twoim urządzeniem a serwerem dostawcy VPN. W publicznej sieci ukrywa przed innymi użytkownikami nawet to, z jakimi stronami się łączysz. To rozsądny dodatek, jeśli często pracujesz w hotelach i na lotniskach, a firmowy VPN do pracy zdalnej to zupełnie normalna rzecz.

Dwie uwagi:

• VPN nie chroni przed phishingiem. Jeśli sam wpiszesz hasło na fałszywej stronie, tunel niczego nie zmieni.
• Uważaj na darmowe aplikacje VPN niewiadomego pochodzenia. Cały twój ruch przechodzi przez ich serwery. Jeśli nie płacisz, to warto wiedzieć, na czym zarabiają. Wybieraj znanych dostawców z jasną polityką prywatności albo VPN, który daje pracodawca.

Najprostsze rozwiązanie: hotspot z telefonu

Moja zasada na wyjazdach: przeglądanie, mapy i filmy przez hotelowe Wi-Fi, bank i sprawy służbowe przez dane komórkowe albo hotspot z własnego telefonu. Twój telefon to sieć, którą kontrolujesz tylko ty. W Unii, przy normalnym korzystaniu, zwykle nie kosztuje to więcej niż w domu.

Jeśli na wyjeździe przyjdzie SMS o „dopłacie do paczki” albo „zablokowanej rezerwacji”, to już inny temat, ale podobne zasady. Opisywałem je w tekście o fałszywych SMS-ach.