Is openbare wifi veilig?

“Is openbare wifi veilig?” is eigenlijk twee vragen in één jas. Splits ze en de paniek verdwijnt, want de twee helften hebben heel verschillende antwoorden.

• Je verkeer: grotendeels opgelost. Ruim 95% van het webverkeer is end-to-end versleuteld. Het café kan je inbox, je bankomgeving of je berichten niet lezen.
• App-data: grotendeels opgelost. Bank-, chat- en mailapps pinnen of verifiëren hun verbindingen. De demo uit 2012 waarbij logins over open wifi werden gestolen, werkt niet meer op een actuele telefoon.
• Certificaatwaarschuwingen werken nog steeds. Een netwerk dat probeert tussen een moderne HTTPS-sessie te gaan zitten, veroorzaakt een alarm in plaats van een stille geslaagde aanval.

• Je identiteit: erger dan ooit. Je moet nu inloggen voordat je online komt, en die pagina wil een achternaam, een kamernummer, een e-mailadres of een telefoonnummer.
• Je lokale blootstelling: ongewijzigd. Je sluit aan op een netwerk dat je niet kunt verifiëren, gedeeld met iedereen anders in het gebouw.
• Je aanwezigheid: geregistreerd. Verbinden is een tijdgestempeld bewijs dat een specifiek toestel — en vaak een specifiek persoon — in dat gebouw was.

Als je maar één ding onthoudt: het gevaar verschoof van inhoud naar metadata. Versleuteling loste het eerste op. Niets aan een gratis hotspot lost het tweede op.

Het horrorverhaal over openbare wifi dat iedereen napraat, komt uit een specifieke periode. Rond 2010 was het grootste deel van het web onversleuteld, reisden sessiecookies in platte tekst, en kon een laptop in hetzelfde café ze met een browserextensie zo uit de lucht plukken. Die tijd is voorbij.

Drie veranderingen hebben dat gedicht, en ze staan allemaal standaard aan:

• Versleuteling overal. Browsers behandelen platte HTTP nu als een uitzondering waarvoor gewaarschuwd wordt, niet als een normale manier om een pagina te laden.
• Strikte transportregels. Grote sites vertellen je browser vooraf om nooit een onversleutelde versie van zichzelf te accepteren — waardoor de klassieke downgrade-truc mislukt voordat hij begint.
• Versleutelde naamopzoekingen. Moderne browsers en telefoons zoeken domeinnamen steeds vaker op binnen een versleuteld kanaal, waardoor de router van de locatie buitenspel wordt gezet.

Vier dingen zijn niet gerepareerd, omdat geen van alle over versleuteling gaat.

Niets hiervan is exotisch. Het zijn de gewone gevolgen van aansluiten op een niet-geverifieerd netwerk dat wordt beheerd door iemand die je nooit hebt ontmoet — en dat is precies wat “gratis wifi” betekent. Wat het je vooral kost, is geen geld; dat komt in de volgende sectie aan bod.

Gratis wifi is niet gratis. De prijs is een identificatiegegeven, verzameld aan de deur, en meestal eentje die je niet kunt vervangen: je achternaam, je kamer, je echte telefoonnummer.

Die laatste rij is degene om bij stil te staan. In een land met verplichte simregistratie is “verifiëren via SMS” geen gemakstap — het is een identiteitscheck bovenop een identiteitscheck. De gids over simregistratie per land somt op welke landen dat zijn, en waaraan de scan van je paspoort daadwerkelijk wordt gekoppeld.

In verschillende landen is de identiteitscheck geen marketingkeuze van de locatie — het staat in de regels voor het aanbieden van openbaar internet an sich. Als bezoeker kom je het steeds op dezelfde manier tegen: het portal wil een lokaal mobiel nummer, en dat heb je niet.

• China — openbare hotspots verifiëren doorgaans met een SMS-code naar een Chinees nummer, dat de meeste bezoekers niet kunnen ontvangen.
• Rusland — openbare wifi vereist sinds 2014 gebruikersidentificatie, meestal via telefoonnummer.
• India — portals op luchthavens en in cafés sturen routinematig een eenmalige code naar een Indiaas nummer.
• Verenigde Arabische Emiraten — hoteltoegang is gekoppeld aan de kamer en het gastenregister; sommige openbare netwerken willen een lokaal nummer.
• Turkije, Indonesië en een groot deel van de Golf — SMS-verificatie is het standaardpatroon voor open netwerken.

Het praktische resultaat is een catch-22: je hebt internet nodig om een lokaal nummer te regelen, en een lokaal nummer om internet te krijgen. Een reisprofiel dat je vóór vertrek installeert, omzeilt dat — hetzelfde mechanisme dat wordt behandeld in de gids over censuur en geblokkeerde apps. Landenpagina’s voor China, India en de Verenigde Arabische Emiraten hebben de details.

Een VPN is het standaardadvies, en het is goed advies, voor zover het reikt. Het loont om precies te zijn over hoe ver dat is.

• Het verbergt je verkeer voor de locatie. Het netwerk ziet een versleutelde tunnel naar één adres in plaats van een lijst bestemmingen.
• Het haalt de router van de locatie uit je naamopzoekingen. Dat sluit de omleidingstrucs die een kwaadwillend portal anders tot zijn beschikking zou hebben.
• Het ontmijnt het nepnetwerk. Als de tunnel eenmaal staat, maakt het veel minder uit wie het toegangspunt beheert.

• Het vertelt ze niet alsnog wie je bent. Het portal kwam eerst. De achternaam, het kamernummer, het telefoonnummer — dat alles was al overhandigd voordat de tunnel bestond.
• Het haalt je apparaat niet van het lokale netwerk. Je bent nog steeds aangesloten, nog steeds vindbaar, en deelt nog steeds wat je laptop is ingesteld om te delen.
• Het helpt niet terwijl het uitstaat. Captive portals weigeren vaak te laden met een actieve VPN, waardoor de routine wordt: verbinding verbreken, inloggen, vergeten opnieuw te verbinden.
• Het stopt geen aanwezigheidsregistratie. Het netwerk registreert nog steeds dat een apparaat verbond, wanneer, en hoelang.

Elk probleem hierboven begint op dezelfde plek: aansluiten op andermans netwerk, op hun voorwaarden. Mobiele data laat die stap gewoon weg. Er is geen portal om in te loggen, geen gedeeld segment, geen naam om te geven — je bent gewoon online zodra je landt.

1. 01
   Koop voordat je vliegt

   Kies je bestemming, betaal een cryptofactuur, en binnen ongeveer twee minuten krijg je een QR-code terug. Geen account, geen e-mail, geen ID.

2. 02
   Installeer thuis op wifi

   Scan de QR-code terwijl je nog op een netwerk zit dat je vertrouwt. De geldigheid start bij de eerste verbinding in het buitenland, niet bij installatie.

3. 03
   Land en zet hem aan

   Zet de reislijn aan voor data en laat je eigen simkaart op zijn plek voor bellen en sms’en. De luchthavenwifi wordt iets waar je gewoon langs kunt lopen.

De volledige uitleg staat in hoe je een eSIM koopt met crypto en je eSIM installeren en activeren. Je eigen nummer blijft precies waar het is — WhatsApp, iMessage en bankcodes blijven werken op je eigen simkaart.

De eerlijke lezing van die tabel: een VPN over hotelwifi repareert de verkeerkolom en laat de identiteitskolom onaangeroerd. Je eigen dataverbinding repareert de identiteitskolom — mits die verbinding zelf nooit aan jou gekoppeld is geweest, wat precies het hele punt is van een no-KYC eSIM. Prijzen per land staan op de bestemmingenpagina.

Soms is er geen keuze: het congres streamt over zijn eigen netwerk, de databundel is op, het hotel is een betonnen blok zonder signaal. Een korte lijst die echt helpt:

• Geef het portal zo min mogelijk. Als het een e-mailadres wil, geef er een die alleen voor portals bestaat. Kamernummer en achternaam ontkom je niet aan; de rest is in de praktijk meestal optioneel.
• Vergeet het netwerk als je weggaat. Die ene stap voorkomt de stille herverbinding maanden later, in een ander land.
• Zet delen uit voordat je verbindt. AirDrop alleen voor contacten, bestands- en printerdeling uit, en markeer het netwerk als “Openbaar” op Windows.
• Klik nooit door een certificaatwaarschuwing heen. Op een moderne site is dat geen storing om te omzeilen; het is het enige alarm dat nog iets betekent.
• Houd de VPN aan nadat het portal geladen is. De kloof tussen inloggen en opnieuw verbinden is waar de hele sessie lekt.
• Doe iets gevoeligs op mobiele data. Bankzaken, documenten uploaden, werklogins — schakel twee minuten over naar je eigen verbinding en weer terug.

Vroeger was dat zo, en die aanname is precies waarom mensen voor luchthavenwifi in de rij staan. Het klopt niet meer. Roaming op een thuisabonnement kost op veel plekken nog steeds $5–15 per dag, maar een prepaid reisprofiel is een paar dollar voor de hele trip — en de “gratis” wifi waarmee je het vergeleek, kost vaak $8–25 per dag zodra je in een vliegtuig of een zakenhotel zit.

• Een week kaarten, chatten en e-mail past ruim in 1 GB.
• Videobellen en streamen zijn wat het cijfer echt beweegt, niet browsen.
• Hotelwifi doet nog steeds het zware werk voor back-ups en downloads — het punt is niet om ermee te stoppen, maar om er niet meer van af te hangen.

De rekensom staat in eSIM versus roaming, en de vraag hoeveel je nodig hebt in hoeveel data heb je nodig in het buitenland.

Deze gids zou oneerlijk zijn als hij bij het verkooppraatje bleef steken. Het café-netwerk inwisselen voor je eigen verbinding verplaatst één specifiek probleem en laat de rest precies zoals het was.

• Het mobiele netwerk ziet nog steeds een apparaat op een mast. Grove locatie hoort bij mobiele dienstverlening; er is geen versie van mobiele data zonder.
• Je accounts identificeren je nog steeds. Inloggen op je gewone e-mail vanaf een nieuwe verbinding identificeert je bij die provider net zo grondig.
• Apps rapporteren nog steeds naar huis. Niets aan de verbinding verandert wat de software op je telefoon kiest om te versturen.
• Het is geen versleuteling. Een privéverbinding vervangt geen TLS of VPN — het is de laag eronder.

Het volledige dreigingsmodel, inclusief wat een netwerkoperator wel en niet kan afleiden, staat in de gids over privacygrenzen en is een eSIM te traceren?.