Připojování na veřejné Wi-Fi sítě – hrozba nebo strašení?

S těmito hrozbami (nebo strašením?) jste se už určitě setkali v desítkách článků, které každoročně kolují internetem před dovolenkovou sezónou. Je to ale opravdu tak, že pokud útočník vytvoří falešnou Wi-Fi, vidí všechno, co na internetu děláte, a dokáže dokonce ukrást vaše bankovní nebo přihlašovací údaje? Právě o tom je tento článek, kde si vše uvedeme na pravou míru. Postupně si rozebereme tři nejčastější mýty spojené s připojováním na veřejné Wi-Fi a ukážeme vám, jaká je realita. A jako bonus jsme pro vás v praxi otestovali, co může útočník vidět, když vytvoří falešnou Wi-Fi síť a vy se připojíte.

Realita: Pokud jste na legitimní stránce (např. https://www.google.com), která používá protokol HTTPS (poznáte to podle „https://“ v adrese a zámku vedle ní), vaše komunikace se serverem je šifrovaná – to znamená, že útočník nevidí obsah stránky, texty, hesla ani údaje, které zadáváte. Přesto ale může vidět některé informace „zvenčí“, jako například:

• na jakou doménu se připojujete (např. google.com),
• kdy a jak často, - kolik dat posíláte a přijímáte,
• nebo technické informace o vašem zařízení (IP a MAC adresu zařízení).

Naopak nemůže vidět:

• obsah navštívené stránky (texty, obrázky, formuláře),
• hesla a osobní údaje z formulářů,
• zprávy, přihlašovací tokeny apod.

Shrnutí: Pokud navštěvujete legitimní stránku s HTTPS vaše komunikace je šifrovaná, takže útočník nevidí obsah stránky, vaše hesla ani osobní údaje, které zadáváte. Přesto může sledovat některé informace, jako je webová stránka, kterou navštěvujete, a některé technické detaily o vašem zařízení, například IP adresu a v některých případech i MAC adresu. Moderní zařízení přitom často mění svou MAC adresu při připojování na různé Wi-Fi sítě, aby bylo těžší sledovat uživatele.

Realita: Za prvé, většina lidí provádí bankovní transakce přes oficiální aplikaci banky. Bankovní aplikace jsou navrženy tak, aby byly bezpečné i při používání na nezabezpečených veřejných sítích, například na Wi-Fi v kavárně nebo na letišti. Používají silné šifrování, které chrání vaše data během přenosu, a často mají další bezpečnostní vrstvy, jako je ověřování uživatele a kontrola certifikátů. To však platí pouze v případě, že používáte oficiální bankovní aplikaci staženou z důvěryhodného zdroje (Google Play, App Store) a že máte své zařízení pravidelně aktualizované — aktualizace totiž často opravují bezpečnostní chyby.

Za druhé, téměř totéž platí i v případě, že přistupujete ke svému internetovému bankovnictví přes webový prohlížeč nebo navštěvujete jakýkoli jiný web s HTTPS. Možná jste slyšeli o situaci, kdy vás útočník na veřejné Wi-Fi může přesměrovat na falešnou webovou stránku, i když zadáte správnou adresu. Jak to může vypadat v praxi? Podívejte se na následující příklad.

Shrnutí: Pokud používáte internetové bankovnictví přes webový prohlížeč a navštěvujete stránky zabezpečené HTTPS (což platí pro drtivou většinu webů, které běžně používáte), prohlížeč vás chrání před přesměrováním na falešné servery tím, že při problémech s certifikátem zobrazí varování. Největší riziko však hrozí v okamžiku, kdy uživatel sám navštíví falešnou adresu – například kliknutím na phishingový odkaz v e-mailu nebo SMS, nebo když se dostane na web bez zabezpečení HTTPS (tedy pouze HTTP). Proto je vždy důležité důkladně kontrolovat celou adresu v prohlížeči, nejen ikonku zámku. Více o tom, jak se chránit před phishingovými útoky, se dozvíte v našem kurzu Kyberkompas v modulu Phishing.

Realita: VPN je velmi užitečný nástroj, ale není jediným způsobem, jak se chránit. Šifruje veškerý datový provoz mezi vaším zařízením a VPN serverem, takže útočník na stejné Wi-Fi nevidí obsah komunikace, ani metadata – jako například jaký web navštěvujete, kdy, a kolik dat přenášíte. To výrazně zvyšuje bezpečnost, zejména na nezabezpečených veřejných sítích.

Díky VPN se také chráníte proti útokům na DNS (např. DNS spoofing). Místo toho, aby váš telefon nebo počítač posílal dotazy na webové adresy přes místní síť, kterou může útočník ovládat, posílá je přes VPN server přes zabezpečené spojení. Tím znemožníte útočníkovi, aby vás přesměroval na falešnou stránku změnou DNS odpovědi.

Ale i bez VPN se můžete chránit:

• Používáním HTTPS webů, které šifrují komunikaci mezi vámi a serverem – útočník tak nevidí, co na stránce děláte ani co zadáváte (pozor – to platí pouze u legitimních stránek; podvodná stránka může mít také HTTPS a platný certifikát, jak uvádíme u Mýtu 2).
• Pravidelnými aktualizacemi operačního systému, prohlížeče a aplikací, které opravují bezpečnostní chyby zneužitelné útočníky.
• Obezřetností – dávejte si pozor, kam klikáte, a vždy si kontrolujte adresní řádek v prohlížeči (např. že jste opravdu na „com“, a ne na „facepook.com“).
• Používáním oficiálních aplikací – například bankovní aplikace jsou navržené tak, aby fungovaly bezpečně i bez VPN.
• A pokud byste chtěli VPN využívat, Masarykova univerzita ji nabízí studentům i zaměstnancům zdarma. Nastavit si ji můžete jednoduše podle návodu zde: https://it.muni.cz/sluzby/eduvpn

Shrnutí: VPN je silný bezpečnostní nástroj, zejména na veřejných Wi-Fi sítích, protože šifruje veškerou komunikaci a chrání vás například před útoky na DNS. Ale ani VPN vás neochrání před podvodnými stránkami, pokud například kliknete na phishingový odkaz z e-mailu nebo SMS.

HTTP

HTTPS