Waarom open Wi-Fi riskant is

De meest directe aanval is afluisteren, ook wel sniffing genoemd. Met vrij beschikbare hulpmiddelen vangt een aanvaller de draadloze frames op die door de lucht gaan. Op een open netwerk zonder versleuteling kunnen ze niet-versleutelde gegevens lezen: de websites die je bezoekt, de gegevens die je verstuurt en inloggegevens die zonder bescherming worden verzonden. Alles wat niet afzonderlijk is versleuteld, bijvoorbeeld met HTTPS, is zichtbaar voor iedereen die in de buurt meeluistert.

Versleuteling op siteniveau, zoals HTTPS, beschermt de inhoud van beveiligde websites, ook op open wifi. Dat is goed, maar niet al het verkeer gebruikt HTTPS en metadata, zoals met welke websites je verbinding maakt, kan nog steeds uitlekken. Aanvallers kunnen ook proberen verbindingen te downgraden of te onderscheppen. HTTPS is een belangrijk vangnet op open netwerken, maar als je er alleen op vertrouwt, blijven er hiaten over die een aanvaller kan misbruiken.

Bij een man-in-the-middle-aanval (MITM) plaatst de aanvaller zich tussen jou en het netwerk. Op open wifi is dat eenvoudig: de aanvaller stelt zich zo op dat die je verkeer doorstuurt en het onderweg kan lezen of aanpassen. De aanvaller kan inloggegevens onderscheppen, schadelijke inhoud invoegen of je doorsturen naar nepwebsites. Zonder versleuteling die het netwerk authenticeert, kun je niet zeker weten met wie je werkelijk communiceert.

Een evil twin is een frauduleus access point dat de naam van een legitiem open netwerk nabootst, zoals FreeAirportWiFi. Slachtoffers maken verbinding omdat ze denken dat het netwerk echt is, waarna al hun verkeer via het access point van de aanvaller loopt. Evil twins gedijen op open netwerken, omdat gebruikers daar geen wachtwoord verwachten en het access point niet controleren. Zodra de verbinding tot stand is gebracht, kan de aanvaller naar believen meeluisteren en MITM-aanvallen uitvoeren.

Als een aanvaller de juiste gegevens onderschept, zoals een sessietoken dat zonder versleuteling is verzonden, kan die sessieovername uitvoeren. Zo neemt de aanvaller je aangemelde sessie op een website over zonder je wachtwoord te kennen. Op open wifi, waar gegevens mogelijk onversleuteld worden verzonden, is het stelen van zulke tokens veel eenvoudiger. De aanvaller doet vervolgens alsof die jij bent op de betreffende dienst.

Met open wifi kan ook iedereen verbinding maken met het netwerk zelf. Onbekenden kunnen je bandbreedte gebruiken en, als het netwerk niet is geïsoleerd, mogelijk andere apparaten bereiken, zoals gedeelde stations of printers. Voor een bedrijf kan een open netwerk een toegangspoort tot interne systemen worden. Open toegang is handig, maar neemt de eerste verdedigingslinie tegen indringers volledig weg.

Als je open wifi moet gebruiken, neem dan voorzorgsmaatregelen: gebruik een VPN (Virtual Private Network) om al je verkeer van begin tot eind te versleutelen, bezoek alleen websites met HTTPS, vermijd gevoelige inlogpogingen en schakel het delen van bestanden uit. Een VPN is de sterkste verdediging, omdat het alles versleutelt, ook wanneer het onderliggende netwerk helemaal geen versleuteling biedt. Daarmee worden de meeste risico's van afluisteren en MITM-aanvallen weggenomen.

Veel openbare netwerken tonen een captive portal: een inlog- of gebruiksvoorwaardenpagina die je moet accepteren voordat je internettoegang krijgt. Het is gemakkelijk om aan te nemen dat het netwerk daardoor veilig is, maar een captive portal versleutelt je verkeer niet. De onderliggende wifi kan nog steeds volledig open zijn, waardoor je gegevens zichtbaar blijven zodra je de portal bent gepasseerd. Zie een inlogpagina nooit aan voor echte versleuteling; behandel zulke netwerken als open en gebruik een VPN.

Open wifi ruilt veiligheid in voor gemak. Omdat signalen zonder versleuteling door de lucht worden uitgezonden, kunnen aanvallers meeluisteren, man-in-the-middle- en evil twin-aanvallen uitvoeren, sessies overnemen en zonder belemmering verbinding maken met het netwerk. Als je deze bedreigingen begrijpt, snap je waarom elk veilig draadloos netwerk versleuteling gebruikt en waarom een VPN essentieel is wanneer je verbinding maakt met een netwerk dat je niet beheert.

Een open wifi-netwerk heeft geen versleuteling, waardoor het uitgezonden verkeer zichtbaar is voor iedereen binnen bereik. Aanvallers kunnen niet-versleutelde gegevens afluisteren (sniffen), man-in-the-middle-aanvallen uitvoeren, een frauduleus access point als evil twin opzetten, sessies overnemen en simpelweg verbinding maken met het netwerk. HTTPS helpt, maar is niet genoeg; een VPN versleutelt al het verkeer van begin tot eind en biedt de beste bescherming. Daarom gebruiken veilige netwerken altijd versleuteling.