Il Wi-Fi pubblico è sicuro?

“Il Wi-Fi pubblico è sicuro?” in realtà sono due domande travestite da una sola. Separale e il panico sparisce, perché le due metà hanno risposte molto diverse.

• Il tuo traffico: in gran parte risolto. Circa il 95% del traffico web è cifrato end-to-end. Il bar non può leggere la tua posta, la sessione bancaria o i tuoi messaggi.
• I dati delle app: in gran parte risolti. Le app di banking, messaggistica e posta bloccano o verificano le proprie connessioni. La dimostrazione del 2012 sul furto di credenziali via Wi-Fi aperto non si riproduce su un telefono attuale.
• Gli avvisi di certificato funzionano ancora. Una rete che prova a inserirsi nel mezzo di una sessione HTTPS moderna genera un allarme, non un successo silenzioso.

• La tua identità: peggio che mai. Ora devi accedere prima di essere online, e quella pagina vuole un cognome, un numero di camera, un’email o un numero di telefono.
• La tua esposizione locale: invariata. Ti unisci a una rete che non puoi verificare, condivisa con chiunque altro sia nell’edificio.
• La tua presenza: registrata. Connettersi è una traccia con data e ora che un certo dispositivo — e spesso una certa persona — era in quell’edificio.

Se ricordi solo una cosa: il pericolo si è spostato dal contenuto ai metadati. La cifratura ha risolto il primo. Niente in un hotspot gratuito risolve il secondo.

La storia dell’orrore sul Wi-Fi pubblico che tutti ripetono viene da un’epoca precisa. Intorno al 2010, gran parte del web non era cifrata, i cookie di sessione viaggiavano in chiaro, e un portatile nello stesso bar poteva intercettarli dall’aria con un’estensione del browser. Quell’epoca è finita.

Tre cambiamenti l’hanno chiusa, e sono tutti attivi di default:

• Cifratura ovunque. I browser oggi trattano l’HTTP semplice come un’eccezione da segnalare, non come un modo normale di caricare una pagina.
• Regole di trasporto rigide. I siti principali dicono al tuo browser, in anticipo, di non accettare mai una loro versione non cifrata — così il classico trucco del downgrade fallisce ancora prima di iniziare.
• Ricerche dei nomi cifrate. Browser e telefoni moderni risolvono sempre più spesso i nomi di dominio dentro un canale cifrato, il che esclude il router del locale dal percorso.

Quattro cose non sono state risolte, perché nessuna di esse riguarda la cifratura.

Nessuna di queste è esotica. Sono le conseguenze ordinarie dell’unirsi a una rete non autenticata gestita da qualcuno che non hai mai incontrato — che è esattamente cosa significa “Wi-Fi gratuito”. Quello che perdi per lo più non è denaro; è la cosa trattata nella prossima sezione.

Il Wi-Fi gratuito non è gratis. Il prezzo è un identificativo, raccolto all’ingresso, ed è di solito uno che non puoi cambiare: il tuo cognome, la tua camera, il tuo vero numero di telefono.

L’ultima riga è quella su cui vale la pena fermarsi. In un paese con registrazione SIM obbligatoria, “verifica via SMS” non è un passaggio di comodità — è un controllo d’identità sopra un altro controllo d’identità. La guida sulla registrazione della SIM elenca quali sono questi paesi, e a cosa viene davvero associata la scansione del tuo passaporto.

In diversi paesi il controllo d’identità non è una scelta di marketing del locale — è scritto nelle regole stesse per offrire accesso pubblico a internet. Da visitatore lo incontri sempre allo stesso modo: il portale vuole un numero di cellulare locale, e tu non ce l’hai.

• Cina — gli hotspot pubblici in genere verificano con un codice SMS a un numero cinese, che la maggior parte dei visitatori non può ricevere.
• Russia — il Wi-Fi pubblico richiede l’identificazione dell’utente dal 2014, di norma tramite numero di telefono.
• India — i portali di aeroporti e bar inviano di routine un codice monouso a un numero indiano.
• Emirati Arabi Uniti — l’accesso in hotel è legato alla camera e alla scheda dell’ospite; alcune reti pubbliche vogliono un numero locale.
• Turchia, Indonesia e buona parte del Golfo — la verifica via SMS è lo schema predefinito per le reti aperte.

Il risultato pratico è un circolo vizioso: ti serve internet per procurarti un numero locale, e ti serve un numero locale per avere internet. Un profilo da viaggio installato prima della partenza lo aggira, lo stesso meccanismo spiegato nella guida su censura e app bloccate. Le pagine paese per Cina, India ed Emirati Arabi Uniti hanno i dettagli.

La VPN è il consiglio standard, ed è un buon consiglio fin dove arriva. Vale la pena essere precisi su dove arriva davvero.

• Nasconde il tuo traffico al locale. La rete vede un tunnel cifrato verso un unico indirizzo, invece di un elenco di destinazioni.
• Esclude il router del locale dalle tue ricerche di nomi. Questo chiude i trucchi di reindirizzamento che un portale ostile avrebbe altrimenti a disposizione.
• Disinnesca la rete sosia. Se il tunnel si attiva, conta molto meno chi gestisce il punto di accesso.

• Non disfa ciò che hai già rivelato. Il portale è arrivato prima. Il cognome, il numero di camera, il numero di telefono — tutto questo è stato consegnato prima che il tunnel esistesse.
• Non toglie il tuo dispositivo dalla rete locale. Sei ancora collegato, ancora individuabile, ancora in condivisione di tutto ciò che il portatile è configurato per condividere.
• Non aiuta mentre è spenta. I captive portal spesso rifiutano di caricarsi con una VPN attiva, quindi la routine diventa: disconnettersi, accedere, dimenticarsi di riconnettersi.
• Non ferma la registrazione della presenza. La rete continua a registrare che un dispositivo si è collegato, quando, e per quanto tempo.

Ogni problema descritto sopra parte dallo stesso punto: unirsi alla rete di qualcun altro, alle sue condizioni. I dati mobili eliminano questo passaggio. Non c’è nessun portale in cui accedere, nessun segmento condiviso, nessun nome da dare — sei semplicemente online nel momento in cui atterri.

1. 01
   Acquista prima di partire

   Scegli la destinazione, paga una fattura in crypto, e un codice QR arriva in circa due minuti. Nessun account, nessuna email, nessun documento.

2. 02
   Installa a casa sul Wi-Fi

   Scansiona il QR mentre sei ancora su una rete di cui ti fidi. La validità parte dalla prima connessione all’estero, non dall’installazione.

3. 03
   Atterra e attivalo

   Attiva la linea da viaggio per i dati e lascia la tua SIM di casa al suo posto per chiamate e SMS. Il Wi-Fi dell’aeroporto diventa qualcosa che puoi ignorare.

La guida completa è in come comprare un eSIM con crypto e installare e attivare il tuo eSIM. Il tuo numero resta esattamente dove è — WhatsApp, iMessage e codici bancari continuano a funzionare sulla SIM di casa.

La lettura onesta di questa tabella: una VPN sul Wi-Fi d’hotel risolve la colonna del traffico e lascia intatta quella dell’identità. La tua connessione dati risolve la colonna dell’identità — a patto che la connessione stessa non sia mai stata legata a te, che è esattamente il punto di un eSIM senza KYC. I prezzi per paese sono sulla pagina delle destinazioni.

A volte non hai scelta: la conferenza trasmette solo sulla propria rete, il pacchetto dati è finito, l’hotel è un blocco di cemento senza segnale. Una lista breve che aiuta davvero:

• Dai al portale il minimo indispensabile. Se vuole un’email, dagliene una che esiste solo per i portali. Numero di camera e cognome non puoi evitarli — il resto è quasi sempre facoltativo nella pratica.
• Dimentica la rete quando esci. Questo singolo passaggio elimina il riaggancio silenzioso mesi dopo, in un altro paese.
• Disattiva la condivisione prima di connetterti. AirDrop solo per i contatti, condivisione file e stampanti spenta, e imposta la rete come “Pubblica” su Windows.
• Non cliccare mai su un avviso di certificato. Su un sito moderno non è un intoppo da aggirare; è l’unico allarme che significa ancora qualcosa.
• Tieni la VPN attiva dopo il caricamento del portale. Il vuoto tra l’accesso e la riconnessione è dove trapela l’intera sessione.
• Fai qualsiasi cosa delicata sui dati mobili. Home banking, caricamento documenti, accessi di lavoro — passa alla tua connessione per due minuti e poi torna indietro.

Lo erano una volta, ed è per questa convinzione che la gente fa la fila per il Wi-Fi dell’aeroporto. Ma non è più vero. Il roaming da un contratto di casa costa ancora $5–15 al giorno in molti posti, ma un profilo da viaggio prepagato costa pochi dollari per l’intero viaggio — mentre il Wi-Fi “gratis” con cui lo stavi confrontando è spesso $8–25 al giorno appena sei su un aereo o in un hotel business.

• Una settimana di mappe, messaggistica ed email sta comodamente in 1 GB.
• Le videochiamate e lo streaming sono ciò che davvero fa muovere il numero, non la navigazione.
• Il Wi-Fi d’hotel fa comunque il lavoro pesante per backup e download — il punto non è smettere di usarlo, è smettere di dipenderne.

I conti sono spiegati in eSIM vs roaming, e la domanda sulla quantità in quanti dati ti servono all’estero.

Questa guida sarebbe disonesta se si fermasse alla promozione. Sostituire la rete del bar con la tua ne sposta uno, di problema specifico, e lascia gli altri esattamente dove erano.

• La rete mobile vede comunque un dispositivo agganciato a un’antenna. Una localizzazione approssimativa viene inclusa nel servizio cellulare; non esiste una versione di dati mobili senza.
• I tuoi account ti identificano comunque. Accedere alla tua email abituale da una connessione nuova ti identifica presso quel provider altrettanto chiaramente.
• Le app continuano a comunicare a casa. Niente nella connessione cambia cosa il software sul tuo telefono decide di inviare.
• Non è cifratura. Un collegamento privato non sostituisce TLS o una VPN — è lo strato che sta sotto di loro.

Il modello di minaccia completo, incluso cosa un operatore di rete può e non può dedurre, è spiegato nella guida sui limiti della privacy e in un eSIM è tracciabile?.