Dlaczego otwarte Wi-Fi jest ryzykowne

Otwarta sieć Wi-Fi nie wymaga hasła ani szyfrowania, więc każdy w jej zasięgu może się z nią połączyć, a co gorsza — obserwować dane przesyłane drogą radiową. Ponieważ Wi-Fi jest rozgłaszane za pomocą fal radiowych, otwarte sieci narażają użytkowników na poważne zagrożenia. W tej lekcji wyjaśniono dokładnie, co atakujący mogą zrobić w niezabezpieczonej sieci bezprzewodowej i dlaczego z otwartym Wi-Fi należy obchodzić się z dużą ostrożnością.

Główny problem polega na tym, że sygnały bezprzewodowe rozchodzą się drogą radiową we wszystkich kierunkach. W sieci przewodowej atakujący musi fizycznie podłączyć się do kabla. W sieci Wi-Fi każdy w zasięgu radiowym może nasłuchiwać — bez konieczności uzyskania fizycznego dostępu. Jeśli sieć jest otwarta i nieszyfrowana, taki nasłuch ujawnia rzeczywistą zawartość ruchu, a nie tylko fakt jego występowania. To właśnie sprawia, że otwarte Wi-Fi jest z natury niebezpieczne.

Najbardziej bezpośrednim atakiem jest podsłuchiwanie, nazywane również sniffingiem. Korzystając z powszechnie dostępnych narzędzi, atakujący przechwytuje przesyłane drogą radiową ramki. W otwartej, nieszyfrowanej sieci może odczytać niezaszyfrowane dane: odwiedzane witryny, przesyłane dane oraz dane uwierzytelniające wysyłane bez ochrony. Wszystko, co nie jest dodatkowo szyfrowane, na przykład za pomocą HTTPS, jest dostępne dla każdego, kto nasłuchuje w pobliżu.

Szyfrowanie na poziomie witryny, takie jak HTTPS, chroni zawartość bezpiecznych witryn nawet w otwartej sieci Wi-Fi, co jest korzystne. Jednak nie cały ruch korzysta z HTTPS, a metadane, takie jak informacje o odwiedzanych witrynach, nadal mogą wyciec. Atakujący mogą również próbować obniżyć poziom zabezpieczeń połączeń lub je przechwycić. HTTPS jest ważną dodatkową ochroną w otwartych sieciach, ale poleganie wyłącznie na nim pozostawia luki, które atakujący mogą wykorzystać.

Atak man-in-the-middle (MITM) polega na umieszczeniu atakującego między użytkownikiem a siecią. W otwartej sieci Wi-Fi jest to łatwe: atakujący ustawia się tak, aby przekazywać ruch użytkownika, odczytując go lub modyfikując po drodze. Może przechwytywać dane logowania, wstrzykiwać złośliwą zawartość albo przekierowywać użytkownika do fałszywych witryn. Bez szyfrowania, które uwierzytelnia sieć, nie można mieć pewności, z kim naprawdę się komunikuje.

Evil twin to fałszywy punkt dostępowy, który imituje nazwę prawdziwej otwartej sieci, na przykład FreeAirportWiFi. Ofiary łączą się z nim, sądząc, że jest prawdziwy, a cały ich ruch zaczyna przepływać przez AP atakującego. Evil twins dobrze sprawdzają się w otwartych sieciach, ponieważ użytkownicy nie oczekują hasła i nie weryfikują punktu dostępowego. Po nawiązaniu połączenia atakujący może do woli podsłuchiwać ruch i przeprowadzać ataki MITM.

Jeśli atakujący przechwyci odpowiednie dane, takie jak nieszyfrowany token sesji, może przeprowadzić przejęcie sesji i przejąć zalogowaną sesję użytkownika w witrynie, nie znając jego hasła. W otwartej sieci Wi-Fi, w której dane mogą być przesyłane jawnym tekstem, kradzież takich tokenów jest znacznie łatwiejsza. Następnie atakujący działa w danej usłudze jako użytkownik.

Otwarte Wi-Fi pozwala również każdemu dołączyć do samej sieci. Nieznajome osoby mogą zużywać przepustowość, a jeśli sieć nie jest odizolowana, mogą potencjalnie uzyskać dostęp do innych podłączonych urządzeń, takich jak współdzielone dyski lub drukarki. W firmie otwarta sieć może stać się punktem wejścia do systemów wewnętrznych. Otwarty dostęp jest wygodny, ale całkowicie usuwa pierwszą barierę chroniącą przed intruzami.

Jeśli musi Pan/Pani korzystać z otwartego Wi-Fi, proszę zachować środki ostrożności: używać VPN (Virtual Private Network) do szyfrowania całego ruchu od końca do końca, korzystać wyłącznie z witryn HTTPS, unikać logowania do wrażliwych usług i wyłączyć udostępnianie plików. VPN jest najsilniejszą ochroną, ponieważ szyfruje wszystko, nawet gdy sama sieć nie zapewnia żadnego szyfrowania, eliminując większość zagrożeń związanych z podsłuchiwaniem i atakami MITM.

Wiele sieci publicznych wyświetla portal captive — stronę logowania lub warunki użytkowania, które trzeba zaakceptować przed uzyskaniem dostępu do internetu. Łatwo założyć, że oznacza to bezpieczeństwo sieci, ale portal captive nie szyfruje ruchu. Podstawowa sieć Wi-Fi nadal może być całkowicie otwarta, przez co dane pozostają narażone po przejściu przez portal. Nigdy nie należy mylić strony logowania z rzeczywistym szyfrowaniem; takie sieci należy traktować jako otwarte i korzystać z VPN.

Otwarte Wi-Fi zapewnia wygodę kosztem bezpieczeństwa. Ponieważ sygnały są rozgłaszane drogą radiową bez szyfrowania, atakujący mogą podsłuchiwać, przeprowadzać ataki man-in-the-middle i evil twin, przejmować sesje oraz swobodnie dołączać do sieci. Zrozumienie tych zagrożeń pokazuje, dlaczego każda bezpieczna sieć bezprzewodowa korzysta z szyfrowania i dlaczego VPN jest niezbędny podczas łączenia się z siecią, nad którą nie ma się kontroli.

Otwarta sieć Wi-Fi nie korzysta z szyfrowania, dlatego rozgłaszany w niej ruch jest dostępny dla każdego w zasięgu. Atakujący mogą podsłuchiwać (wykonywać sniffing) niezaszyfrowane dane, przeprowadzać ataki man-in-the-middle, konfigurować fałszywy punkt dostępowy typu evil twin, przejmować sesje i po prostu dołączać do sieci. HTTPS pomaga, ale nie wystarcza; VPN szyfruje cały ruch od końca do końca i zapewnia najlepszą ochronę. Dlatego bezpieczne sieci zawsze korzystają z szyfrowania.