Публичный Wi-Fi: что реально видно в такой сети и как снизить риски

Кафе, аэропорты, коворкинги и отели предлагают открытые сети Wi-Fi. Подключиться легко, а риски почти никто не оценивает. Разберёмся, что именно уязвимо в такой сети и какие меры действительно работают.

Как устроена открытая точка доступа

Открытая сеть — это обычная Wi-Fi сеть без пароля. Каждый желающий может к ней подключиться, а значит, весь трафик идёт внутри общего сегмента. Технически это означает, что в одной сети с вами могут оказаться другие посетители.

Главный примитивный приём — «злой двойник»: злоумышленник поднимает свою точку с названием сети типа Free_Airport_WiFi. Устройства, которым доверяли сеть раньше, подключатся к нему автоматически. Дальше он становится посредником между вами и интернетом.

Что видно без шифрования

Если сайт открыт по HTTP, злоумышленник на том же сегменте видит:

• адрес сайта и все параметры запроса;
• заголовки и cookies — то есть может подделать сессию;
• содержимое формы, пока она не защищена шифрованием.

Популярные сайты давно перешли на HTTPS, но часть ресурсов, встроенные картинки, старые приложения и часть IoT-устройств до сих пор ходят по HTTP.

Что видно даже с HTTPS

Шифрование не скрывает метаданные:

• IP-адрес сайта, к которому идёт запрос. По нему видно домен-зеркало или поддомен, даже если весь остальной путь зашифрован.
• SNI в TLS-рукопожатии — имя запрашиваемого хоста передаётся до установления шифрования (существует расширение Encrypted Client Hello, но оно ещё не массовое).
• Дату, время и объём трафика — провайдер или оператор сети всегда видят, сколько данных ушло и куда по IP.

Поэтому фраза «VPN не скрывает вообще ничего от провайдера» неверна ровно так же, как и «VPN делает вас невидимым». Речь всегда о том, какие именно слои закрыты.

DNS-запросы

DNS-запрос — отдельный канал. В открытой сети запросы легко подменить: ответ «домен не найден» или перенаправление на поддельный сайт работают даже при корректном HTTPS, потому что сертификат поддельного сайта просто не подойдёт — но пользователь увидит ошибку и может решить, что «сайт лежит».

Что делать:

• включить DNS-over-HTTPS или DNS-over-TLS в системе;
• не отключать предупреждения браузера о сертификатах — это последний рубеж;
• проверять адрес в адресной строке, а не переходить по ссылкам из сообщений.

Практический чек-лист

1. Отключите автоподключение к открытым сетям — иначе устройство само выберет «двойника».
2. Проверяйте HTTPS — значок замка должен быть, а не всплывающее «продолжить небезопасно».
3. Используйте защищённое соединение — корпоративный доступ или VPN закрывают содержимое трафика и DNS от локального наблюдателя.
4. Не входите в банк и не оплачивайте покупки через чужую сеть, если можно подождать.
5. Забудьте «всегда доверять» этой сети — после окончания работы удалите её из списка известных.

Резюме

Открытый Wi-Fi опасен не тем, что «весь интернет вас видит», а тем, что рядом с вами оказывается враждебный посредник с доступом ко всем незашифрованному трафику и к DNS. HTTPS с включёнными предупреждениями, DoH и отключение автоподключения закрывают подавляющее большинство реальных атак.