Wi-Fi công cộng có an toàn không?

Người vận hành mạng thấy đích đến của bạn. Bất kỳ ai vận hành điểm phát — hoặc dựng một điểm phát trùng tên với điểm thật — có thể thấy bạn kết nối tới những trang và dịch vụ nào cùng các truy vấn DNS của bạn, dù HTTPS che những gì bạn làm ở đó. Thiết bị khác trong cùng mạng có thể chạm tới thiết bị của bạn. Trên mạng mở, laptop của bạn chỉ cách mọi người khác một chặng; chia sẻ tệp, một dịch vụ remote desktop bị quên hay hệ thống chưa vá đều bị phơi ra. Cổng đăng nhập (captive portal) và mạng giả mạo. Trang đăng nhập là khoảnh khắc duy nhất kẻ tấn công có thể cho bạn xem một trang giả; một mạng đặt tên giống quán nhưng chạy từ chiếc laptop trong góc chẳng tốn gì để dựng lên. Ứng dụng không mã hóa. Giờ hiếm, nhưng ứng dụng vẫn dùng HTTP thuần sẽ rò rỉ mọi thứ nó gửi. Điều Wi-Fi công cộng không còn làm được là cho người lạ đọc phiên ngân hàng của bạn: HTTPS, thứ mọi ngân hàng, nhà cung cấp email và trang lớn đều dùng, ngăn điều đó ngay cả trên mạng thù địch.

1. Dùng VPN trên mọi mạng bạn không kiểm soát; nó che đích đến của bạn khỏi người vận hành và mã hóa đoạn đường tới máy chủ VPN. Chạy kiểm tra VPN một lần để chắc nó không rò rỉ.
2. Xác nhận tên mạng với nhân viên; ưu tiên mạng có mật khẩu hơn mạng mở, kể cả khi mật khẩu dán trên tường.
3. Đánh dấu mạng là công cộng trong Windows hoặc macOS để tắt chia sẻ tệp và khám phá thiết bị, và giữ tường lửa hệ thống bật.
4. Giữ chế độ chỉ HTTPS của trình duyệt bật và không bao giờ bấm bỏ qua cảnh báo chứng chỉ trên mạng công cộng — đó chính xác là hình dạng của một vụ chặn bắt.
5. Cập nhật trước khi đi: hệ điều hành, trình duyệt và ứng dụng. Hầu hết tấn công trên mạng dùng chung cần một lỗ hổng chưa vá.
6. Không dùng trang cổng đăng nhập cho việc gì ngoài đăng nhập, và đóng nó sau đó. Không cài bất cứ gì mà cổng yêu cầu cài.
7. Quên mạng khi rời đi để thiết bị không tự kết nối lại với bất kỳ điểm phát trùng tên nào sau này.

Hai phép kiểm tra mất ba mươi giây. Thứ nhất, mở trang chủ khi VPN đang kết nối: địa chỉ và nhà mạng ở đầu trang phải là của VPN, không phải của quán — nếu là của quán, VPN chưa truyền lưu lượng của bạn. Thứ hai, chạy kiểm tra rò rỉ DNS: các resolver được liệt kê phải thuộc VPN hoặc một resolver công cộng đi qua VPN, không phải mạng của điểm phát. Nếu cả hai đạt, người vận hành mạng chỉ thấy lưu lượng mã hóa tới một máy chủ. Trang website biết gì về bạn cho thấy phần còn lại của những gì bạn đang phát ra.