Πώς να προστατέψετε τα δεδομένα σας σε δημόσιο Wi-Fi

Γι' αυτό, τα δεδομένα που κυκλοφορούν σε απλό κείμενο σε ένα τέτοιο δίκτυο μπορούν καταρχήν να υποκλαπούν από οποιονδήποτε βρίσκεται στο ίδιο δίκτυο. Παρακάτω: από πού προέρχεται αυτός ο κίνδυνος, τι διαφορά έχουν το WPA2 και το WPA3, και τι μπορείτε να κάνετε σε λίγα λεπτά για να τον μειώσετε.

Γιατί το δημόσιο Wi-Fi είναι ξεχωριστή κατηγορία κινδύνου

Σε ένα οικιακό ή εταιρικό δίκτυο υπάρχει συνήθως ένας γνωστός ιδιοκτήτης και ένας κωδικός που δεν μοιράζεται σε αγνώστους. Σε μια καφετέρια ή σε ένα αεροδρόμιο, δεκάδες άγνωστες συσκευές συνδέονται ταυτόχρονα στο ίδιο σημείο πρόσβασης, και το ίδιο το σημείο πρόσβασης μπορεί να έχει ρυθμιστεί από οποιονδήποτε. Από εκεί προκύπτουν τρία τυπικά σενάρια:

• Υποκλοπή κίνησης (packet sniffing). Αν το δίκτυο είναι ανοιχτό ή χρησιμοποιεί κοινό κωδικό για όλους χωρίς επιπλέον κρυπτογράφηση σε επίπεδο συνεδρίας, τεχνικά οποιοσδήποτε άλλος χρήστης στο ίδιο δίκτυο μπορεί να αναλύσει την κίνηση κάποιου άλλου με κατάλληλα εργαλεία.
• Ψεύτικα σημεία πρόσβασης (rogue hotspots). Ένας επιτιθέμενος στήνει το δικό του δίκτυο με παρόμοιο όνομα — π.χ. «Free_Airport_Wifi» αντί για το επίσημο όνομα του καταστήματος — και περνά από τον εαυτό του όλη την κίνηση των συνδεδεμένων συσκευών.
• Επίθεση man-in-the-middle (MITM). Η συσκευή του επιτιθέμενου παρεμβάλλεται ανάμεσα σε εσάς και το πραγματικό σημείο πρόσβασης και μπορεί να αλλάξει το περιεχόμενο μη κρυπτογραφημένων σελίδων ή να σας ανακατευθύνει σε ψεύτικες φόρμες σύνδεσης.

Κανένα από αυτά τα σενάρια δεν απαιτεί από τον επιτιθέμενο ειδική πρόσβαση στον εξοπλισμό του καταστήματος — αρκεί να βρίσκεται στο ίδιο δημόσιο δίκτυο.

WPA2 και WPA3: τι άλλαξε για τα κοινόχρηστα δίκτυα

Το WPA2 παρέμεινε επί χρόνια το πρότυπο για το Wi-Fi, αλλά έχει περιορισμούς ειδικά στο πλαίσιο κοινόχρηστων δικτύων: ο κωδικός είναι ίδιος για όλους, πράγμα που σημαίνει ότι, θεωρητικά, γνωρίζοντάς τον, κάποιος θα μπορούσε υπό ευνοϊκές συνθήκες υποκλοπής του handshake να επιχειρήσει να αποκρυπτογραφήσει την κίνηση άλλων στο ίδιο δίκτυο. Το WPA3 κλείνει μέρος αυτών των κενών — σύμφωνα με τεχνική αναφορά της Υπηρεσίας Εθνικής Ασφάλειας των ΗΠΑ (NSA) για το WPA3, το νέο πρότυπο χρησιμοποιεί το πρωτόκολλο SAE αντί για την ανταλλαγή κλειδιών του WPA2, κάτι που δυσκολεύει το offline μάντεμα κωδικού, και προσθέτει forward secrecy: κάθε συνεδρία έχει το δικό της μοναδικό κλειδί, οπότε η μελλοντική διαρροή του κωδικού δεν επιτρέπει την αποκρυπτογράφηση παλαιότερα υποκλαπείσας κίνησης. Ξεχωριστή δυνατότητα του WPA3 είναι η λειτουργία Enhanced Open (OWE): κρυπτογραφεί το κανάλι μεταξύ συσκευής και σημείου πρόσβασης ακόμα και σε εντελώς ανοιχτά δίκτυα χωρίς κωδικό — κάτι που το WPA2 δεν διέθετε καθόλου.

Σημαντική επιφύλαξη: πολλοί δημόσιοι router σε καφετέριες και ξενοδοχεία εξακολουθούν να λειτουργούν με WPA2 ή χωρίς καμία κρυπτογράφηση, ενώ η υποστήριξη του Enhanced Open υιοθετείται άνισα από τους κατασκευαστές σημείων πρόσβασης. Γι' αυτό δεν συμφέρει να βασίζεστε μόνο στο πρότυπο κρυπτογράφησης του ίδιου του δικτύου — τα παρακάτω βήματα λειτουργούν ανεξάρτητα από το πρότυπο Wi-Fi που χρησιμοποιεί το κάθε κατάστημα.

Λίστα ελέγχου: τι να κάνετε πριν και κατά τη σύνδεση

Κάθε βήμα διαρκεί λιγότερο από πέντε λεπτά και δεν απαιτεί ειδικές γνώσεις.

1. Απενεργοποιήστε την αυτόματη σύνδεση σε ανοιχτά δίκτυα. Στις ρυθμίσεις Wi-Fi κινητού και laptop υπάρχει συνήθως μια επιλογή όπως «αυτόματη σύνδεση σε ανοιχτά δίκτυα» — απενεργοποιήστε την, ώστε η συσκευή σας να μη συνδέεται μόνη της σε τυχαία σημεία πρόσβασης.
2. Επιβεβαιώστε το ακριβές όνομα δικτύου με το προσωπικό. Τα ψεύτικα σημεία πρόσβασης έχουν συχνά όνομα σχεδόν ίδιο με το πραγματικό, με ένα μικρό ορθογραφικό λάθος ή μια επιπλέον λέξη.
3. Απενεργοποιήστε την κοινή χρήση αρχείων και φακέλων. Όσο βρίσκεστε σε δημόσιο δίκτυο, απενεργοποιήστε την κοινή χρήση αρχείων, εκτυπωτών και AirDrop/«κοινή χρήση σε κοντινή απόσταση» — αυτές οι λειτουργίες προορίζονται για αξιόπιστα δίκτυα.
4. Ελέγχετε το HTTPS. Το εικονίδιο κλειδαριάς και μια διεύθυνση https:// σημαίνουν ότι το περιεχόμενο μιας συγκεκριμένης σελίδας είναι κρυπτογραφημένο μεταξύ browser και ιστότοπου, αλλά αυτό δεν προστατεύει το ίδιο το δίκτυο — η σύνδεση εξακολουθεί να μπορεί να αναλυθεί σε επίπεδο μεταδεδομένων, και τα αιτήματα DNS μπορούν να υποκλαπούν ή να παραποιηθούν.
5. Χρησιμοποιήστε κρυπτογραφημένο tunnel για όλη την κίνηση της συσκευής, όχι μόνο για τον browser — περισσότερα στην επόμενη ενότητα.
6. Ενεργοποιήστε τη διπλή ταυτοποίηση στους βασικούς λογαριασμούς. Αν παρ' όλα αυτά ο κωδικός υποκλαπεί ή αποκτηθεί μέσω φόρμας phishing, ο δεύτερος παράγοντας δεν επιτρέπει τη σύνδεση στον λογαριασμό από άγνωστη συσκευή.
7. «Ξεχάστε» το δίκτυο μετά τη χρήση. Έτσι η συσκευή δεν θα συνδεθεί ξανά αυτόματα σε αυτό την επόμενη φορά που θα βρεθείτε κοντά.

Πώς η κρυπτογράφηση κίνησης συμπληρώνει την ασφάλεια δικτύου

Ακόμα κι αν το ίδιο το σημείο πρόσβασης χρησιμοποιεί ξεπερασμένο πρότυπο ή δεν κρυπτογραφεί καθόλου το κανάλι, η κατάσταση μπορεί να διορθωθεί σε επίπεδο συσκευής. Μια εφαρμογή που δημιουργεί κρυπτογραφημένο tunnel μεταξύ συσκευής και απομακρυσμένου διακομιστή περνά μέσα από αυτό το tunnel όλη την κίνηση — όχι μόνο του browser, αλλά και όλων των υπόλοιπων εφαρμογών. Για έναν εξωτερικό παρατηρητή στο ίδιο δημόσιο δίκτυο, το μόνο ορατό είναι μια κρυπτογραφημένη ροή δεδομένων, χωρίς δυνατότητα ανάγνωσης του περιεχομένου ή παραποίησής του εν κινήσει. Περισσότερα για το πώς λειτουργεί τεχνικά η κρυπτογράφηση κίνησης θα βρείτε σε ξεχωριστό άρθρο — «Τι είναι πραγματικά η κρυπτογράφηση διαδικτυακής κίνησης, με απλά λόγια».

Στην πράξη, αυτό σημαίνει ότι το να έχετε πρόχειρη μια εφαρμογή που κρυπτογραφεί τη σύνδεση και ενεργοποιείται με ένα πάτημα στις ρυθμίσεις είναι μια λογική συνήθεια για τη χρήση αγνώστων δικτύων. Το HamikVPN είναι ένα τέτοιο εργαλείο: κρυπτογραφεί τη σύνδεση στο κινητό και στον υπολογιστή και συνδέεται με ένα πάτημα· εφαρμογές για διάφορες πλατφόρμες θα βρείτε στη σελίδα λήψης.

Ειδικά για το Android

Από το Android 10 και μετά, το σύστημα χρησιμοποιεί εξ ορισμού τυχαιοποιημένη διεύθυνση MAC για κάθε αποθηκευμένο δίκτυο — όπως περιγράφεται στην επίσημη τεκμηρίωση του Android Open Source Project. Η τυχαιοποίηση δυσκολεύει την παρακολούθηση της ίδιας συσκευής σε διαφορετικά δημόσια δίκτυα, αλλά δεν προστατεύει το περιεχόμενο της κίνησης — αυτό είναι ξεχωριστό ζήτημα που λύνεται με κρυπτογράφηση σε επίπεδο εφαρμογής, όχι με το αναγνωριστικό του προσαρμογέα δικτύου. Μια πληρέστερη λίστα ρυθμίσεων για την καθημερινή προστασία ενός Android smartphone θα βρείτε στη λίστα ελέγχου ασφάλειας Android, ενώ οι απαιτήσεις και οι δυνατότητες μιας mobile εφαρμογής VPN για Android περιγράφονται σε ξεχωριστή σελίδα.

Τι άλλο αξίζει να ελέγξετε

Το δημόσιο Wi-Fi είναι μόνο ένα από τα κανάλια μέσα από τα οποία μπορεί να διαρρεύσουν προσωπικά δεδομένα. Αξίζει επιπλέον να ελέγξετε τις γενικές αρχές ψηφιακής υγιεινής: χρησιμοποιήστε διαφορετικούς κωδικούς για διαφορετικές υπηρεσίες, αποθηκεύστε τους σε διαχειριστή κωδικών και όχι σε σημειώσεις, και ενεργοποιήστε τη διπλή ταυτοποίηση — γιατί είναι σημαντική και πώς ρυθμίζεται εξηγείται στο άρθρο για τη διπλή ταυτοποίηση. Αν ταξιδεύετε συχνά, αξίζει να έχετε πρόχειρη και μια ευρύτερη λίστα ελέγχου — για παράδειγμα, τη γρήγορη λίστα ελέγχου ασφάλειας ταξιδιού.