OPSEC52 / Неделя 21 — Wi-Fi в отеле и общественных местах: сеть, к которой вы подключились, создана, чтобы за вами наблюдать

Wi-Fi в отеле, аэропорту или кафе — это чужая сеть, работающая в чужих интересах. Шифрование закрыло большинство старых «кофейных» атак. Реальный риск — сама сеть: что она записывает, что связывает с вашей личностью и тот момент, когда она может подсунуть вам поддельную страницу.

Модель угрозы: оператор сети и тот, кто её арендует или взломал; порталы авторизации, привязывающие сессию к вашему имени или номеру; журналы DNS и подключений, которые переживут ваше пребывание; точки доступа «злой двойник»; и другие устройства в той же сети.

Что изменилось, а что нет

Десять лет назад классический совет звучал так: «сосед за соседним столиком может прочитать вашу почту». Это почти в прошлом: практически все сайты и приложения шифруют трафик, и пассивный наблюдатель в сети кафе видит, куда вы подключаетесь, но не что вы пишете.

Не изменилось другое — кому принадлежит сеть. Вход в Wi-Fi отеля часто требует номер комнаты и фамилию — и это связывает каждое последующее подключение с паспортом, который вы показали на стойке регистрации. Оператор (часто внешняя компания, обслуживающая сотни отелей) видит имена, которые вы запрашиваете (DNS), когда и сколько вы были в сети и аппаратный адрес устройства. Это аккуратный журнал о вас с отметками времени, который хранит компания, которую вы не выбирали, в стране, чьих правил вы можете не знать.

Три реальных риска

1. Портал авторизации. Страница «принять условия» — единственный момент, когда сеть может показать вам страницу по своему выбору. Вредоносный или взломанный портал может попросить «войти через Google», «обновить сетевой драйвер» или установить «сертификат безопасности». Ничего из этого никогда не нужно, чтобы выйти в интернет. Допустимое взаимодействие с порталом одно: поставить галочку, ввести номер комнаты — и всё.

2. Злой двойник. Любой может транслировать сеть с именем Hotel_Guest или Airport Free WiFi. Ваш телефон может подключиться к ней сам, потому что помнит это имя. Двойник не может читать зашифрованный трафик, но управляет вашим DNS и может показать собственный портал — см. риск 1.

3. Журнал, который вас переживёт. Даже честная сеть хранит журналы подключений и DNS. Если позже кто-то спросит: «Какой гость из номера 412 заходил на эту биржу в 02:10?», ответ может существовать.

Что сделать уже сегодня

Заверните всё в туннель, который выбрали вы. Надёжный VPN (Неделя 1) превращает то, что отель видит о вас, в одно зашифрованное соединение с одним сервером. Подключайте его сразу после портала, прежде чем открывать что-либо ещё, и включите kill switch, чтобы при переподключении ничего не утекало.
Или используйте своё подключение. Точка доступа с телефона на местной или туристической eSIM (по возможности купленной без документов — см. Неделю 4) полностью обходит сеть отеля. Для чувствительной работы это часто проще, чем доверять VPN во враждебном Wi-Fi.
Шифруйте DNS. Включите DNS over HTTPS в браузере или системе (Неделя 17). Без этого даже сессия без VPN сообщает сети по имени каждый сайт, который вы посещаете.
Давайте порталу минимум. Если портал принимает только фамилию — вводите только фамилию. Никогда не входите через соцсети, ничего не устанавливайте и не принимайте предлагаемые сертификаты или профили.
Рандомизируйте аппаратный адрес. Современные iOS и Android по умолчанию используют частный MAC-адрес для каждой сети; проверьте, что он включён, а на ноутбуках включите случайные аппаратные адреса. Так ваше устройство не узнают от отеля к отелю.
Забывайте сеть при отъезде и отключите автоподключение к открытым сетям. Это лишает злого двойника самого простого трюка.
Файрвол включён, общий доступ выключен. В общей сети ваш ноутбук доступен каждому гостю. Отключите общий доступ к файлам, поставьте AirDrop на «только контакты» или выключите его и держите системный файрвол включённым.

Отдельно для пользователей криптовалют

Не запускайте полный узел, синхронизацию кошелька или сессию на бирже через Wi-Fi отеля без туннеля: одни только имена DNS (биржа, адрес узла, обозреватель блоков) ясно указывают, чем вы владеете. Если в поездке нужно провести транзакцию, делайте это через собственную точку доступа плюс VPN или Tor и никогда не вводите сид-фразу на устройстве, подключённом к сети, которую вы не контролируете.

Частые ошибки

«У сети есть пароль, значит, она безопасна». Пароль от Wi-Fi, напечатанный на карточке номера, знают все гости. Он защищает отель от улицы, а не вас от отеля.
Открыть ноутбук и дать всему сначала синхронизироваться. Почта, облачные диски и мессенджеры переподключаются в тот же миг, как появляется Wi-Fi, — раньше вашего VPN. Сначала поднимите VPN или положитесь на kill switch.
Доверять порталу, потому что он выглядит профессионально. Порталы легко скопировать. Проверка не в том, как он выглядит, а в том, что он у вас просит.

Шаг этой недели

Перед следующей поездкой настройте это один раз и проверьте дома:

VPN установлен, kill switch включён, автоподключение в недоверенных сетях настроено.
DNS over HTTPS включён в браузере.
Частный/случайный аппаратный адрес для Wi-Fi включён на всех устройствах.
Автоподключение к открытым сетям выключено; файрвол включён; общий доступ выключен.

В дороге: подключились, прошли портал с минимумом данных, подняли туннель — и только потом всё остальное.

Куратор — Cyber Satoshi. Часть OPSEC52 — 52 недели, 52 столпа приватности, модель угрозы прежде всего. См. также Неделю 1 (дисциплина VPN-выхода), Неделю 4 (изоляция телефона), Неделю 17 (утечки DNS) и Неделю 20 (досмотр устройств на границе).