Безопасен ли публичный Wi-Fi?

Начнём с того, что изменилось. В 2014 году зашифрована была примерно треть веб-трафика; сегодня больше 95 % загрузок страниц в Chrome идут по HTTPS, а обычный HTTP браузеры помечают как «не защищено». HTTPS означает, что сеть между вами и сайтом — включая роутер кафе и любого, кто слушает эфир, — видит только зашифрованные байты. Пароли, номера карт и сообщения проходят через публичный Wi-Fi нечитаемыми, поэтому классическое предупреждение («хакер прочитает вашу почту в Starbucks») больше не описывает типичный риск. Остальное делится на пять групп.

• Метаданные. Оператор сети видит, к каким серверам вы подключаетесь: DNS-запросы и имя сервера в рукопожатии TLS называют сайт, даже когда содержимое зашифровано. Кафе может понять, что вы двадцать минут провели на сайте с вакансиями; какие именно вакансии — нет.
• Поддельные и похожие сети. Кто угодно может транслировать сеть с именем «Airport_Free_WiFi». Подставная точка доступа видит всё то же, что и настоящая, и вдобавок может показать страницу авторизации, которая просит пароль от почты «для входа», или перенаправить HTTP-запрос на фишинговую копию сайта. HTTPS и HSTS останавливают перенаправление на сайтах, где вы уже бывали; поддельная страница входа рассчитывает на вас.
• Незашифрованный трафик. Старые приложения, некоторые приложения-компаньоны умных устройств, FTP, почтовые клиенты с незащищёнными IMAP/SMTP и редкие HTTP-сайты всё ещё отправляют данные в читаемом виде. В открытой сети (без пароля) их может прочитать любой в радиусе действия; в сети с паролем WPA2 — любой, кто знает пароль и перехватил установку вашего соединения, а в отеле это все.
• Ваше устройство, а не ваш трафик. В общей сети ваш ноутбук доступен другим устройствам в ней. Общий доступ к файлам, AirDrop в режиме «Для всех», медиасервер или забытая служба удалённого рабочего стола становятся открытой дверью; большинство атак в публичном Wi-Fi — это автоматические сканирования именно в их поисках.
• Кража сессии. Если сайт смешивает HTTP и HTTPS или ставит cookie без флага Secure, cookie может утечь, и кто-то сможет воспользоваться вашей открытой сессией. На крупных сайтах теперь редкость, на мелких по-прежнему возможно.

Что не является реальным риском: кто-то «взломает ваш телефон» только потому, что тот подключился к той же сети (современный телефон по умолчанию ничего не открывает сети), или оператор сети прочитает ваши сообщения в приложении со сквозным шифрованием.

1. Проверяйте имя сети, прежде чем подключаться. Спросите у персонала точное имя или прочитайте его на чеке или табличке; «FreeWiFi» без пароля рядом с «Cafe-Guest» с паролем — типичная картина подставной сети. Предпочитайте сети с паролем, а там, где предлагается WPA3 (это видно в сведениях о сети на устройстве), — WPA3: он защищает трафик каждого устройства, даже когда пароль знают все. Для всего, что связано с деньгами, самым безопасным вариантом остаётся мобильный интернет.
2. Включите режим «только HTTPS». Chrome: Настройки → Конфиденциальность и безопасность → Безопасность → Всегда использовать безопасные соединения. Firefox: Настройки → Приватность и защита → Режим «Только HTTPS». Safari переходит на HTTPS автоматически и предупреждает о сбоях. С этой настройкой сеть, пытающаяся понизить соединение до обычного HTTP, получит страницу с предупреждением, а не ваши данные.
3. Отметьте сеть как общедоступную и выключите общий доступ. При первом подключении Windows спрашивает, разрешить ли другим устройствам в этой сети обнаруживать ваш ПК: ответьте «нет» — это выберет профиль брандмауэра Общедоступная сеть. На macOS держите AirDrop в режиме Только для контактов или Никому, а общий доступ к файлам выключите в Системные настройки → Основные → Общий доступ. На телефонах по умолчанию ничего не расшаривается — так и оставьте.
4. Используйте VPN в сетях, которые вам не принадлежат, и проверяйте его. VPN шифрует всё, включая DNS-запросы и имена серверов, которые HTTPS оставляет видимыми, и переносит доверие от кафе к VPN-провайдеру. Это единственное изменение, которое убирает риски метаданных и понижения соединения разом. Но помогает он только тогда, когда действительно несёт ваш трафик: тест VPN проверяет пути IP, DNS, WebRTC и IPv6 за один запуск, а статья что такое VPN объясняет, что он защищает, а что нет.
5. Обновляйте устройство и держите файрвол включённым. Автоматические сканирования, нацеленные на публичные сети, ищут известные, уже закрытые дыры. Обновления операционной системы и браузера и включённый файрвол их закрывают; это важнее любой другой настройки в этом списке.
6. Используйте двухфакторную аутентификацию и менеджер паролей. Украденный пароль бесполезен без второго фактора, а менеджер паролей не подставит ваши учётные данные в похожий домен — это обезвреживает трюк с поддельной страницей авторизации и фишинговой страницей, и вам даже не придётся замечать опечатку в адресе.
7. Забывайте сеть, когда уходите. Устройства автоматически подключаются к сетям, которые знают по имени, и подставная точка доступа с именем сети вашего отеля может переманить ваш телефон через дорогу. Отключите автоподключение для публичных сетей (iPhone: Настройки → Wi-Fi → ⓘ → Автоподключение; Android: настройки сети) или забудьте их, а Wi-Fi держите выключенным, когда не пользуетесь.

Ещё два бесплатных приёма: используйте зашифрованный DNS (Частный DNS в Android, настройка DNS-over-HTTPS в Windows 11 или профиль резолвера в iOS), чтобы сеть не могла видеть и подменять ваши запросы, и не вводите в страницу авторизации ничего чувствительного сверх того, что нужно, чтобы вас выпустили в интернет.

Карточка ниже запускает из этого браузера проверки, которые важны в публичной сети, обращаясь к нашим собственным тестовым серверам. Адрес, который видят сайты, — в первой строке; если вы ожидали VPN, а там показан провайдер кафе, значит, VPN ваш трафик не несёт. Строка WebRTC сообщает, выдаёт ли браузер второй адрес в обход VPN, строка DNS показывает, какие резолверы вам ответили (собственный резолвер отеля может подменять ответы, публичный или VPN-резолвер отель подменить не может), а строка IPv6 показывает, не оставляет ли VPN, туннелирующий только IPv4, ваш IPv6-трафик в открытом виде.

Зелёный результат означает, что сеть не видит больше, чем должна; предупреждение называет пробел и ведёт на полный тест с решением. Запускайте проверку заново при каждой смене сети: результат относится к этому подключению, а не к вашему аккаунту.