Kako nevarna so javna omrežja Wi-Fi v resnici?

SEO podnaslov: V kavarni, hotelu ali na letališču je udobje pogosto hitrejše od previdnosti in ravno tam se začnejo najdražje napake.

Javna brezžična omrežja niso “samodejno nevarna”, niso pa nikoli nevtralna. Za osnovno brskanje so pogosto dovolj varna, ker večina spletnih strani danes uporablja šifriranje, ki ga prepoznamo po ključavnici oziroma “https”. Nevarnost pa skokovito naraste v trenutku, ko se prijavljate v račune, urejate službene zadeve, dostopate do banke ali se povežete v omrežje, ki ni to, za kar se izdaja. Takrat ne gre več za teorijo, ampak za zelo praktično vprašanje: komu ste pravkar odprli vrata?

Zakaj so javna omrežja sploh problematična?

Prvi problem je preprost: ne veste, kdo omrežje upravlja in kaj se z vašim prometom dogaja. SI-CERT opozarja, da lahko takšno omrežje postavi praktično kdorkoli in da je včasih zelo težko ločiti “pravo” omrežje od lažnega (npr. v hotelu, knjižnici, na letališču). Drugi problem je, da gre pogosto za skupno okolje vi, deset turistov, nekdo z laptopom v kotu in še nekaj naprav, ki se povezujejo avtomatsko.

Najbolj tipična past je tako imenovani “evil twin”: lažna dostopna točka, ki se pretvarja, da je legitimna, ker uporablja enako ali zelo podobno ime. Britanski NCSC to opiše naravnost: napadalec postavi svojo dostopno točko v kavarni, da se uporabniki povežejo nanjo namesto na pravo, nato pa lahko prestreza in spreminja promet.

Foto: Javni Wi-Fi Vir: Freepik

Kdaj je uporaba “še okej” – in kdaj raje ne?

Najbolj uporabno pravilo je: javno omrežje obravnavajte kot prostor, kjer se ne pogovarjate o občutljivih stvareh na glas.

Razmeroma varno (če se držite osnovne higiene):

• branje novic, vozni redi, zemljevidi, preverjanje odpiralnih časov
• prenos datotek, ki niso občutljive
• ogled vsebin na spletnih straneh, kjer se ne prijavljate

Raje ne (ali samo z dodatnimi varovalkami):

• e-banka, upravljanje kartic, davčne in državne storitve
• prijava v primarni e-poštni račun (ker je to pogosto “ključ” do vsega drugega)
• službene prijave, dokumenti, notranji sistemi
• karkoli, kjer bi vas kraja seje/računa bolela še tedne

ENISA pri dostopu do e-bančništva ali drugih zasebnih storitev iz javnega Wi-Fi izrecno priporoča uporabo VPN ali vsaj mobilne dostopne točke.

Kaj če ima omrežje geslo ali prijavno stran – ali to pomeni varnost?

Ne nujno. Geslo na listu papirja pri šanku pogosto pomeni le, da omrežje ni čisto odprto ne pomeni pa, da je varno, posodobljeno ali pravilno nastavljeno. Še bolj zahrbtne so prijavne strani (“captive portal”), kjer vas omrežje preusmeri na spletno stran za dostop. Če je ta stran lažna, lahko vpišete e-pošto, geslo ali celo družbena omrežja in to je to. To ni hipotetično. V Avstraliji je policija opisala odmeven primer lažnih omrežij “evil twin” na letališčih in celo na letih. Uporabnike so preusmerjali na ponarejene prijavne strani, kjer so morali vnesti e-pošto ali podatke družbenih omrežij.

Ali drži, da te ključavnica v brskalniku “reši”?

Ključavnica pomeni nekaj pomembnega: povezava med vami in spletno stranjo je šifrirana, zato vsebine prometa praviloma ne more kar tako prebrati nekdo na istem omrežju. FTC pojasnjuje, da je povezovanje prek javnih omrežij zaradi razširjenega šifriranja danes pogosto razmeroma varno. Vseeno svetuje, da pred uporabo vedno preverite “https” in ikono ključavnice v brskalniku.

Ampak ključavnica ne potrjuje, da ste na pravi strani in da vas na drugi strani ne čaka prevarant. FTC opozarja, da goljufi ustvarjajo tudi lažne (a šifrirane) strani, ki delujejo legitimno, podatki pa pri njih niso varni. SI-CERT in Varni na internetu sta zato zelo konkretna: če brskalnik pokaže opozorilo o certifikatu ali “nekaj ne štima”, to jemljite resno in raje prekinite povezavo.

Foto: Zastonj javni Wi-Fi

Kako te ujamejo v praksi – dva tipična scenarija

1) “Letališki Wi-Fi” z napačnim imenom. Vidite dve omrežji: “Airport_Free_WiFi” in “Airport WiFi”. Povežete se na prvega, ker je signal močnejši. Nato dobite prijavno stran, ki zahteva prijavo z e-pošto. Če vpišete podatke, ste jih morda pravkar oddali napadalcu točno tak princip opisuje policija v primeru lažnih omrežij na letališčih in letih.

2) “Vse dela, dokler ne dela.” Brskate, nič ne izgleda sumljivo, potem pa opazite, da vas stran vrže na čudno prijavo ali da brskalnik začne opozarjati na certifikat. To je trenutek, ko je pametno zapreti zadevo in preklopiti na mobilni internet. Varni na internetu posebej opozarja tudi na tveganje prestrezanja prometa v slabo zavarovanih omrežjih ter na pomen certifikatnih opozoril.

Kaj lahko narediš v dveh minutah, preden klikneš “Connect”?

• Preveri ime omrežja pri osebju (ne zaupaj “najmočnejšemu signalu”). NCSC kot najzanesljivejši način proti “evil twin” napadom omenja prav to: vprašati lastnika ali osebje, katero omrežje je pravo.
• Izklopi samodejno povezovanje in po uporabi omrežje “pozabi”, da se naprava kasneje ne poveže sama.
• Ne vpisuj občutljivih podatkov (banka, primarna e-pošta, službeni dostopi). To je osrednje opozorilo tudi v policijskem primeru z lažnimi omrežji.
• Pazi na certifikatna opozorila če se pojavijo, prekini.
• Uporabi mobilni hotspot ali VPN, kadar je to smiselno (predvsem za občutljive prijave). ENISA to neposredno priporoča pri e-bančništvu in zasebnih storitvah iz javnih omrežij.

Kaj pravi strokovni glas – brez ovinkarjenja

Detektivka inšpektorica Andrea Coleman iz AFP Cybercrime Division je ob primeru lažnih “brezplačnih Wi-Fi” omrežij opozorila: “Ne bi smeli vnašati nobenih osebnih podatkov kot je prijava prek e-pošte ali družbenih omrežij.” To je dobra “rdeča zastavica” za vsakogar: če vas omrežje sili v prijavo, ki je ne pričakujete, ali zahteva podatke, ki jih za dostop do interneta ne bi smelo, se ustavite.

Foto: Wi-Fi v restavracijah Vir: Freepik

Kaj to pomeni v Sloveniji in EU?

Slovenija ima zelo praktičen referenčni okvir: SI-CERT redno opozarja na pasti lažnih omrežij in na pomen opozoril brskalnika, ko gre za certifikate in poskuse prestrezanja. ENISA na ravni EU poudarja osnovno varnostno higieno: odprtim omrežjem se raje izognite, pri občutljivih opravkih pa bodite posebej previdni. Kjer so posledice lahko velike, svetuje varnejše poti, kot sta mobilni hotspot ali dodatna zaščita. V praksi je to tudi “GDPR-realnost”: uhajanje prijavnih podatkov ali prevzem računa ni samo osebna nevšečnost, ampak pogosto pomeni verigo posledic od kraje identitete do zlorab v vašem imenu.

Kaj si je vredno zapomniti?

Javni Wi-Fi ni prepovedan teren je pa teren, kjer ne hodiš z odprto denarnico. Če brskaš “lahke” stvari, je tveganje praviloma obvladljivo; če pa urejaš občutljive prijave, je pametneje preklopiti na mobilni internet ali uporabiti dodatno zaščito.

Pripravil: L. H.
Viri: FTC Consumer Advice, SI-CERT, Varni na internetu, ENISA, The Guardian, freeCodeCamp, Cloudwards, Surfshark

The post Kako nevarna so javna omrežja Wi-Fi v resnici? first appeared on NaDlani.si.