Publiczne sieci bezprzewodowe nie są bezpieczne

Zbliża się czas wakacji. Coraz częściej będziemy korzystać z naszych laptopów, smartfonów oraz tabletów do łączenia się z internetem w różnych miejscach publicznych: w kawiarniach, na dworcach, lotniskach, w hotelach. Zazwyczaj logujemy się do sieci dostępnej w tych miejscach, nie myśląc o środkach ostrożności. A wtedy możemy się narazić na kłopoty oraz straty finansowe.

Publiczne sieci bezprzewodowe nie są bezpieczne. Wydaje się, że mamy świadomość zagrożenia, bo jak wykazało badanie F-Secure, ponad połowa internautów (52 proc.) obawia się, że publiczne sieci nie gwarantują odpowiedniej ochrony prywatności. Wśród polskich użytkowników odsetek badanych, którzy udzielili takiej odpowiedzi, wynosi nawet 77 proc.

Jednak teoria nie zawsze przekłada się na praktykę. W drodze, podczas wakacyjnego wyjazdu, w pośpiechu często korzystamy z sieci Wi-Fi bardzo bezrefleksyjnie.

Fałszywy hotspot

Gdy łączymy się z przypadkową siecią Wi-Fi, nigdy nie powinniśmy zapominać, że nie wiemy, kto jest jej właścicielem i jakie ma zamiary. Każde żądanie otwarcia strony najpierw przechodzi przez punkt dostępowy, a następnie dociera do stron, które użytkownik chce odwiedzić. Jeżeli komunikacja między użytkownikiem a punktem dostępowym nie jest szyfrowana, cyberprzestępca z łatwością może znaleźć się w samym jej środku (stąd nazwa ataku: Man-in-the-Middle) i działając jako pośrednik w komunikacji sieciowej, przechwycić dane logowania do banku czy też całe sesje bankowości internetowej, wykonując przelewy w naszym imieniu.

W lokalizacjach, gdzie działają publiczne hotspoty, pojawiają się też fałszywe sieci Wi-Fi. Bardzo często nazwy punktów dostępowych uruchamianych przez przestępców brzmią podobnie jak tych oficjalnych oferowanych np. przez hotel, kawiarnię, lotnisko itp.

– Wystarczy wyobrazić sobie sytuację, że klient kawiarni o nazwie ABC łączy się z hotspotem o nazwie na przykład „ABC Goście", licząc na to, że jest to oficjalna sieć udostępniona gościom danego lokalu. Pozornie wszystko wygląda tak samo. Tymczasem cyberprzestępca władający fałszywą siecią może podglądać wszystkie operacje wykonywane na komputerze czy urządzeniu mobilnym. Może też przekierowywać ruch na podstawione strony służące do bankowości mobilnej – mówi Michał Jarski z Trend Micro.

Hotspot stworzony przez oszusta może też zainfekować komputer złośliwym programem typu spyware.

Jak ominąć zagrożenia

Publiczne sieci bezprzewodowe są po to, by umożliwiać korzystanie z internetu w każdych okolicznościach. Nie należy ich demonizować i bać się ich. Trzeba po prostu zachować rozsądek podczas korzystania z takiej sieci i przestrzegać kilku zasad.

Nie będzie zagrożenia, jeśli ograniczamy się do przeglądania portali informacyjnych czy pobierania filmów. Ryzyko pojawia się natomiast wtedy, gdy strona, na którą chcemy wejść, wymaga logowania lub podawania prywatnych informacji. Tak jest na przykład podczas logowania się do konta w serwisie społecznościowym, przeglądania poczty elektronicznej lub składania zamówienia w sklepie internetowym.

– Takie serwisy najlepiej odwiedzać wyłącznie za pośrednictwem bezpiecznego, szyfrowanego połączenia https, ponieważ nigdy nie wiadomo, czy właściciel danej sieci lub któryś z użytkowników nie podsłuchuje informacji przesyłanych za jej pośrednictwem. Dla zwiększenia poziomu ochrony prywatności trzeba korzystać ze znanych i sprawdzonych sieci Wi-Fi, które używają protokołu WPA2. Wiele hoteli oraz kawiarni udostępnia zabezpieczone łącze Wi-Fi i podaje do niego hasło – mówi Kamil Sadkowski, analityk zagrożeń z firmy ESET.

Jeśli jest to możliwe, zawsze lepiej korzystać z publicznych sieci bezprzewodowych, które są chronione hasłem. Bo nawet jeśli hasło do sieci jest dostępne np. dla wszystkich gości, nadal zapewnia ochronę. Wspólne hasło jest wykorzystywane do generowania unikatowych kluczy sesji dla każdego użytkownika. A zatem dane nie zostaną odszyfrowane przez żadną inną osobę, nawet jeśli zna hasło dostępowe do sieci.

Gdy musimy korzystać z publicznej sieci Wi-Fi, lepiej stworzyć odrębne hasła dla każdego ze swoich kont. Innym logować się do poczty, innym do serwisów bankowych (jeśli już koniecznie jest taka potrzeba), innym np. do Facebooka. Najlepiej oczywiście wcale nie wchodzić na strony, na których trzeba się logować, by nie stwarzać możliwości przejęcia danych do logowania.

Oprogramowanie ochronne

Najbezpieczniejsze jest korzystanie z serwisów używających szyfrowania. Strony internetowe, które wykorzystują protokół https i wyświetlają symbol zamkniętej kłódki w przeglądarce, szyfrują dane w sposób automatyczny. Jeszcze bezpieczniejszą praktyką jest szyfrowanie całego ruchu przychodzącego na komputer i wychodzącego z niego podczas korzystania z publicznej sieci za pomocą VPN (Virtual Private Network). Jednak niektórzy dostawcy rozwiązań bezpieczeństwa nie polecają VPN.

– Nie jestem szczególnym zwolennikiem systemów VPN dla użytkowników indywidualnych, ponieważ wszystkie nasze dane lądują wówczas u trzeciej strony (oferującej VPN), a potwierdzenie jej wiarygodności jest trudne lub wręcz niemożliwe – uważa Michał Jarski z Trend Micro.

Kolejna sprawa to bezpieczeństwo samych urządzeń, za pomocą których łączymy się z siecią. Przede wszystkim należy zainstalować na nich oprogramowanie ochronne. Przeglądarki internetowe na smartfonach i tabletach są znacznie bardziej zagrożone od ich odpowiedników na laptopy. Dlatego szczególnie ważne jest to, aby miały zainstalowane aplikacje zabezpieczające. Ochronę laptopa dodatkowo można wzmocnić oprogramowaniem typu firewall (zapora sieciowa).

W smartfonach i tabletach, które automatycznie mają ustawione wyszukiwanie sieci Wi-Fi, należy tę opcje wyłączyć w ustawieniach sieci.

– W urządzeniach mobilnych kluczowe jest wyłączenie funkcji automatycznego logowania się do znalezionych sieci. Jeśli tego nie zrobimy, to włamywacz jest w stanie odczytać „z powietrza", które sieci są identyfikowane przez okoliczne urządzenia jako znane (np. nazwy sieci Wi-Fi w domu czy pracy) i stworzyć ich wirtualne duplikaty, automatycznie przechwytując nasze urządzenia mobilne – twierdzi Michał Jarski.