Czy publiczne Wi-Fi jest bezpieczne?

„Czy publiczne Wi-Fi jest bezpieczne?” to tak naprawdę dwa pytania noszące jeden płaszcz. Rozdziel je, a panika znika — bo te dwie połówki mają zupełnie inne odpowiedzi.

• Twój ruch: sprawa w dużej mierze załatwiona. Około 95% ruchu w sieci jest szyfrowane od początku do końca. Kawiarnia nie odczyta twojej skrzynki, sesji bankowej ani wiadomości.
• Dane aplikacji: sprawa w dużej mierze załatwiona. Aplikacje bankowe, komunikatory i poczta przypinają lub weryfikują swoje połączenia. Demonstracja kradzieży loginów przez otwarte Wi-Fi z 2012 roku nie powtarza się na dzisiejszym telefonie.
• Ostrzeżenia o certyfikacie wciąż działają. Sieć, która próbuje wejść w środek nowoczesnej sesji HTTPS, wywołuje alarm, a nie ciche powodzenie.

• Twoja tożsamość: gorzej niż kiedykolwiek. Teraz musisz się zalogować, zanim wejdziesz do sieci, a ta strona chce nazwiska, numeru pokoju, e-maila lub numeru telefonu.
• Twoja lokalna ekspozycja: bez zmian. Dołączasz do sieci, której nie możesz zweryfikować, współdzielonej z każdym innym w budynku.
• Twoja obecność: zapisana. Połączenie to opatrzony znacznikiem czasu zapis, że konkretne urządzenie — a często konkretna osoba — było w tym budynku.

Jeśli masz zapamiętać jedno: zagrożenie przeniosło się z treści na metadane. Szyfrowanie rozwiązało to pierwsze. Darmowy hotspot niczego nie zmienia w tym drugim.

Historia grozy o publicznym Wi-Fi, którą wszyscy powtarzają, pochodzi z konkretnej epoki. Około 2010 roku większość sieci była nieszyfrowana, ciasteczka sesji podróżowały jawnym tekstem, a laptop w tej samej kawiarni mógł je wyłowić z powietrza za pomocą wtyczki do przeglądarki. Ta epoka się skończyła.

Zamknęły ją trzy zmiany, i wszystkie są domyślnie włączone:

• Szyfrowanie wszędzie. Przeglądarki traktują dziś zwykłe HTTP jako wyjątek, przed którym trzeba ostrzec, a nie normalny sposób wczytania strony.
• Surowe reguły transportu. Duże serwisy z góry mówią przeglądarce, by nigdy nie akceptowała ich niezaszyfrowanej wersji — więc klasyczna sztuczka z degradacją zawodzi, zanim się zacznie.
• Szyfrowane wyszukiwanie nazw. Nowoczesne przeglądarki i telefony coraz częściej rozwiązują nazwy domen wewnątrz szyfrowanego kanału, co wyłącza router lokalu z tego procesu.

Cztery rzeczy nie zostały naprawione, bo żadna z nich nie dotyczy szyfrowania.

Żadna z tych rzeczy nie jest egzotyczna. To zwykłe konsekwencje dołączenia do niepotwierdzonej sieci prowadzonej przez kogoś, kogo nigdy nie spotkałeś — bo to właśnie znaczy „darmowe Wi-Fi”. To, co najczęściej kosztuje, to nie pieniądze — to temat kolejnej sekcji.

Darmowe Wi-Fi nie jest darmowe. Ceną jest identyfikator, zbierany przy wejściu, i zwykle taki, którego nie możesz zmienić: twoje nazwisko, twój pokój, twój prawdziwy numer telefonu.

Ten ostatni wiersz zasługuje na chwilę zastanowienia. W kraju z obowiązkową rejestracją kart SIM „weryfikacja przez SMS” to nie ułatwienie — to sprawdzenie tożsamości nałożone na inne sprawdzenie tożsamości. Przewodnik po rejestracji kart SIM pokazuje, w których krajach tak jest i do czego naprawdę przypina się skan twojego paszportu.

W kilku krajach sprawdzanie tożsamości to nie wybór marketingowy lokalu — to zapisane w przepisach dotyczących samego oferowania publicznego dostępu do internetu. Jako turysta trafiasz na to za każdym razem tak samo: portal chce lokalnego numeru komórkowego, a ty go nie masz.

• Chiny — publiczne hotspoty zwykle weryfikują kodem SMS wysyłanym na chiński numer, którego większość turystów nie może odebrać.
• Rosja — publiczne Wi-Fi wymaga identyfikacji użytkownika od 2014 roku, zwykle przez numer telefonu.
• Indie — portale na lotniskach i w kawiarniach rutynowo wysyłają jednorazowy kod na indyjski numer.
• Zjednoczone Emiraty Arabskie — dostęp hotelowy jest powiązany z pokojem i kartą gościa; niektóre publiczne sieci chcą lokalnego numeru.
• Turcja, Indonezja i większość krajów Zatoki — weryfikacja SMS to domyślny wzorzec dla otwartych sieci.

Profil podróżny zainstalowany przed wylotem omija ten problem — to ten sam mechanizm, który opisuje przewodnik o cenzurze i blokowanych aplikacjach. Szczegóły znajdziesz na stronach krajowych: Chiny, Indie i Zjednoczone Emiraty Arabskie.

VPN to standardowa rada, i to dobra rada, o ile sięga. Warto dokładnie wiedzieć, jak daleko to jest.

• Ukrywa twój ruch przed lokalem. Sieć widzi zaszyfrowany tunel do jednego adresu zamiast listy celów.
• Wyłącza router lokalu z twoich wyszukiwań nazw. To zamyka sztuczki z przekierowaniem, które miałby do dyspozycji wrogi portal.
• Rozbraja sieć-podróbkę. Jeśli tunel wstanie, dużo mniej zależy od tego, kto prowadzi punkt dostępu.

• Nie cofa tego, co już o tobie wiedzą. Portal był pierwszy. Nazwisko, numer pokoju, numer telefonu — to wszystko zostało przekazane, zanim tunel w ogóle powstał.
• Nie zdejmuje twojego urządzenia z lokalnej sieci. Wciąż jesteś podłączony, wciąż widoczny, wciąż udostępniasz to, co twój laptop ma skonfigurowane do udostępniania.
• Nie pomaga, gdy jest wyłączony. Captive portale często odmawiają wczytania przy włączonym VPN, więc rutyna wygląda tak: rozłącz, zaloguj się, zapomnij połączyć ponownie.
• Nie zatrzymuje logowania obecności. Sieć wciąż zapisuje, że urządzenie dołączyło, kiedy i na jak długo.

Każdy z powyższych problemów zaczyna się w tym samym miejscu: dołączeniu do cudzej sieci na jej warunkach. Dane mobilne usuwają ten krok. Nie ma portalu do zalogowania, nie ma współdzielonego segmentu, nie ma nazwiska do podania — po prostu jesteś w internecie w chwili lądowania.

1. 01
   Kup przed lotem

   Wybierz cel podróży, zapłać fakturę w kryptowalucie, a kod QR wraca po około dwóch minutach. Bez konta, bez e-maila, bez dowodu tożsamości.

2. 02
   Zainstaluj w domu na Wi-Fi

   Zeskanuj kod QR, gdy jesteś jeszcze w sieci, której ufasz. Ważność zaczyna się od pierwszego połączenia za granicą, nie od instalacji.

3. 03
   Wyląduj i włącz

   Włącz linię podróżną do transmisji danych, a swoją domową kartę SIM zostaw do połączeń i SMS-ów. Wi-Fi na lotnisku staje się czymś, obok czego po prostu przechodzisz.

Pełny przewodnik znajdziesz w artykułach jak kupić eSIM za kryptowalutę i instalacja i aktywacja eSIM-u. Twój własny numer zostaje dokładnie tam, gdzie był — WhatsApp, iMessage i kody bankowe nadal działają na domowej karcie SIM.

Uczciwe odczytanie tej tabeli: VPN na hotelowym Wi-Fi naprawia kolumnę ruchu i zostawia kolumnę tożsamości bez zmian. Twoje własne połączenie z danymi naprawia kolumnę tożsamości — pod warunkiem że samo połączenie nigdy nie było z tobą powiązane, co jest całym sensem eSIM-u no-KYC. Ceny w poszczególnych krajach są na stronie kierunków.

Czasem nie ma wyboru: konferencja transmituje przez własną sieć, pakiet danych się skończył, hotel to betonowa skrzynia bez zasięgu. Krótka lista, która naprawdę pomaga:

• Podaj portalowi jak najmniej. Jeśli chce e-maila, podaj taki, który istnieje tylko do portali. Numeru pokoju i nazwiska zwykle nie unikniesz — reszta w praktyce jest opcjonalna.
• Zapomnij sieć, wychodząc. Ten jeden krok zabija ciche ponowne dołączenie miesiące później, w innym kraju.
• Wyłącz udostępnianie, zanim się połączysz. AirDrop tylko dla kontaktów, udostępnianie plików i drukarek wyłączone, a sieć oznaczona jako „Publiczna” w Windows.
• Nigdy nie klikaj dalej przy ostrzeżeniu o certyfikacie. Na nowoczesnej stronie to nie usterka do obejścia — to jedyny alarm, który wciąż coś znaczy.
• Trzymaj VPN włączony po wczytaniu portalu. Luka między zalogowaniem a ponownym połączeniem to miejsce, w którym wycieka cała sesja.
• Wszystko wrażliwe rób na danych mobilnych. Bankowość, wysyłanie dokumentów, logowania do pracy — przełącz się na dwie minuty na własne łącze i przełącz z powrotem.

Kiedyś tak było, i to właśnie to założenie sprawia, że ludzie w ogóle stoją w kolejce po Wi-Fi na lotnisku. To już nieprawda. Roaming z domowej umowy wciąż kosztuje $5–15 dziennie w wielu miejscach, ale prepaidowy profil podróżny to kilka dolarów za całą podróż — a „darmowe” Wi-Fi, z którym go porównywałeś, to często $8–25 dziennie, gdy tylko jesteś w samolocie albo w hotelu biznesowym.

• Tydzień map, wiadomości i e-maili mieści się wygodnie w 1 GB.
• Rozmowy wideo i streaming to to, co naprawdę rusza licznik, nie przeglądanie stron.
• Hotelowe Wi-Fi wciąż odwala ciężką robotę przy kopiach zapasowych i pobieraniu — chodzi nie o to, by przestać z niego korzystać, tylko przestać od niego zależeć.

Wyliczenia znajdziesz w eSIM kontra roaming, a pytanie o wielkość pakietu w ile danych potrzebujesz za granicą.

Ten przewodnik byłby nieuczciwy, gdyby skończył się na ofercie sprzedażowej. Zamiana sieci kawiarni na własną przenosi jeden konkretny problem, a resztę zostawia dokładnie tam, gdzie była.

• Sieć komórkowa wciąż widzi urządzenie przy nadajniku. Zgrubna lokalizacja przychodzi razem z usługą komórkową; nie ma wersji danych mobilnych bez niej.
• Twoje konta wciąż cię identyfikują. Zalogowanie się do zwykłej poczty z nowego połączenia identyfikuje cię u tego dostawcy równie dokładnie.
• Aplikacje wciąż meldują się do domu. Nic w samym połączeniu nie zmienia tego, co oprogramowanie w twoim telefonie postanawia wysłać.
• To nie jest szyfrowanie. Prywatne łącze nie zastępuje TLS ani VPN-u — to warstwa pod nimi.

Pełny model zagrożeń, łącznie z tym, co operator sieci może, a czego nie może wywnioskować, opisują przewodnik o granicach prywatności oraz czy eSIM da się namierzyć?.