Безопасен ли общественный Wi-Fi?

«Безопасен ли общественный Wi-Fi?» — на самом деле два вопроса под одной обложкой. Разделите их — и паника уходит, потому что ответы на эти половины совершенно разные.

• Ваш трафик: в основном решено. Около 95% веб-трафика зашифровано от начала до конца. Кафе не может прочитать вашу почту, банковскую сессию или сообщения.
• Данные приложений: в основном решено. Банковские, мессенджер- и почтовые приложения проверяют или закрепляют свои соединения. Демонстрация 2012 года о краже логинов через открытый Wi-Fi не повторяется на современном телефоне.
• Предупреждения о сертификате всё ещё работают. Сеть, которая пытается встать посередине современной HTTPS-сессии, вызывает тревогу, а не тихий успех.

• Ваша личность: хуже, чем когда-либо. Теперь нужно войти через портал, прежде чем оказаться в сети, а эта страница хочет фамилию, номер комнаты, email или номер телефона.
• Локальная уязвимость: без изменений. Вы подключаетесь к сети, которую невозможно проверить, — общей для всех в здании.
• Ваше присутствие: зафиксировано. Подключение — это запись с меткой времени о том, что конкретное устройство, а часто и конкретный человек, были в этом здании.

Если запомнить только одно: опасность переместилась от содержимого к метаданным. Шифрование решило первое. Ничего в бесплатном хотспоте не решает второе.

Страшилка про публичный Wi-Fi, которую все повторяют, родом из конкретной эпохи. Около 2010 года большая часть веба была не зашифрована, сессионные куки передавались открытым текстом, и ноутбук в том же кафе мог выхватить их прямо из эфира с помощью расширения браузера. Та эпоха закончилась.

Закрыли её три изменения, и все они включены по умолчанию:

• Шифрование повсюду. Браузеры теперь считают обычный HTTP исключением, о котором нужно предупредить, а не нормальным способом загрузить страницу.
• Строгие правила транспорта. Крупные сайты заранее сообщают браузеру никогда не принимать их незашифрованную версию — поэтому классический трюк с понижением уровня защиты проваливается, не успев начаться.
• Шифрованный поиск имён. Современные браузеры и телефоны всё чаще разрешают доменные имена внутри зашифрованного канала, что выводит роутер заведения из цепочки.

Четыре вещи так и остались нерешёнными, потому что ни одна из них не связана с шифрованием.

Ничего экзотического здесь нет. Это обычные последствия подключения к неаутентифицированной сети, которой управляет кто-то, кого вы никогда не видели, — а именно это и значит «бесплатный Wi-Fi». Обычно это стоит вам не денег, а того, о чём — следующий раздел.

Бесплатный Wi-Fi не бесплатен. Цена — это идентификатор, который собирают на входе, и обычно его нельзя сменить: ваша фамилия, номер комнаты, настоящий номер телефона.

Последняя строка заслуживает отдельного внимания. В стране с обязательной регистрацией SIM-карт «подтверждение по SMS» — это не шаг для удобства, а проверка личности поверх проверки личности. Гайд про регистрацию SIM-карт перечисляет, в каких странах это действует, и к чему на самом деле привязывается скан вашего паспорта.

В нескольких странах проверка личности — не маркетинговое решение заведения, а часть правил, по которым вообще можно предоставлять публичный доступ в интернет. Как гость вы сталкиваетесь с этим каждый раз одинаково: порталу нужен местный номер мобильного, а его у вас нет.

• Китай — публичные хотспоты обычно проверяют через SMS-код на китайский номер, который у большинства гостей просто нет возможности получить.
• Россия — публичный Wi-Fi требует идентификации пользователя с 2014 года, обычно по номеру телефона.
• Индия — порталы в аэропортах и кафе регулярно присылают одноразовый код на индийский номер.
• Объединённые Арабские Эмираты — доступ в отеле привязан к номеру и записи о госте; некоторым публичным сетям нужен местный номер.
• Турция, Индонезия и большая часть стран Залива — SMS-подтверждение здесь стандартная схема для открытых сетей.

На практике получается замкнутый круг: нужен интернет, чтобы оформить местный номер, и нужен местный номер, чтобы получить интернет. Профиль, установленный до вылета, обходит эту ловушку — тот же механизм разбирает гайд про цензуру и заблокированные приложения. Подробности — на страницах стран Китай, Индия и Объединённые Арабские Эмираты.

VPN — стандартный совет, и совет неплохой в тех пределах, в которых он работает. Стоит точно понимать, где эти пределы.

• Он скрывает ваш трафик от заведения. Сеть видит зашифрованный туннель к одному адресу вместо списка назначений.
• Он убирает роутер заведения из ваших запросов на разрешение имён. Это закрывает трюки с перенаправлением, которые иначе были бы доступны враждебному порталу.
• Он обезвреживает сеть-двойника. Если туннель поднялся, гораздо меньше значения имеет, кто держит точку доступа.

• Он не отменяет то, что вы уже сообщили о себе. Портал был первым. Фамилия, номер комнаты, номер телефона — всё это передано ещё до того, как появился туннель.
• Он не убирает ваше устройство из локальной сети. Вы всё ещё подключены, всё ещё обнаружимы и всё ещё делитесь тем, что настроено на общий доступ в ноутбуке.
• Он не помогает, пока выключен. Captive-порталы часто отказываются загружаться при включённом VPN, поэтому получается рутина: отключить, войти, забыть включить обратно.
• Он не останавливает журналирование присутствия. Сеть всё равно фиксирует, что устройство подключилось, когда и на сколько.

Все проблемы выше начинаются в одной точке: подключение к чужой сети на чужих условиях. Мобильный интернет убирает этот шаг. Нет портала для входа, нет общего сегмента, не нужно называть своё имя — вы просто оказываетесь в сети в момент приземления.

1. 01
   Купите до вылета

   Выберите направление, оплатите счёт криптовалютой — и примерно через две минуты придёт QR-код. Без аккаунта, без email, без документов.

2. 02
   Установите дома по Wi-Fi

   Отсканируйте QR, пока вы ещё в сети, которой доверяете. Срок действия начинается с первого подключения за границей, а не с установки.

3. 03
   Приземлитесь и включите

   Включите travel-линию для данных, а домашнюю SIM оставьте для звонков и SMS. Wi-Fi в аэропорту становится тем, мимо чего можно просто пройти.

Полное пошаговое руководство — в статьях как купить eSIM за криптовалюту и установка и активация eSIM. Ваш собственный номер остаётся на месте — WhatsApp, iMessage и банковские коды продолжают работать через домашнюю SIM.

Честное прочтение этой таблицы: VPN поверх отельного Wi-Fi решает столбец трафика и не трогает столбец личности. Своё подключение к данным решает столбец личности — при условии, что само подключение никогда не было привязано к вам, а это и есть весь смысл no-KYC eSIM. Цены по странам — на странице направлений.

Иногда выбора нет: конференция транслируется только через свою сеть, пакет данных закончился, отель — бетонная коробка без сигнала. Короткий список того, что реально помогает:

• Дайте порталу минимум возможного. Если он хочет email, дайте адрес, который существует только для порталов. Номер комнаты и фамилию не обойти — но почти всё остальное на практике необязательно.
• «Забудьте» сеть, когда уходите. Один этот шаг убивает тихое переподключение спустя месяцы в другой стране.
• Отключите общий доступ до подключения. AirDrop — только для контактов, доступ к файлам и принтерам — выключен, а в Windows отметьте сеть как «Общедоступная».
• Никогда не игнорируйте предупреждение о сертификате. На современном сайте это не глюк, который можно обойти, — это единственная тревога, которая всё ещё что-то значит.
• Держите VPN включённым после загрузки портала. Именно в промежутке между входом и повторным подключением утекает вся сессия.
• Всё чувствительное делайте через мобильный интернет. Банк, загрузка документов, рабочие логины — переключитесь на своё подключение на две минуты и переключитесь обратно.

Раньше был, и именно поэтому люди в принципе стоят в очереди за Wi-Fi в аэропорту. Сейчас это уже не так. Роуминг по домашнему контракту всё ещё стоит $5–15 в день во многих местах, а предоплаченный travel-профиль обходится в несколько долларов на всю поездку — а тот самый «бесплатный» Wi-Fi, с которым его сравнивали, часто стоит $8–25 в день, как только вы оказываетесь в самолёте или в бизнес-отеле.

• Неделя карт, мессенджеров и почты спокойно укладывается в 1 ГБ.
• Видеозвонки и стриминг — вот что реально двигает цифру, а не просмотр страниц.
• Wi-Fi в отеле по-прежнему тянет основную нагрузку для бэкапов и загрузок — смысл не в том, чтобы перестать им пользоваться, а в том, чтобы перестать от него зависеть.

Арифметика разложена в статье eSIM против роуминга, а вопрос объёма пакета — в статье сколько данных нужно в поездке.

Этот гайд был бы нечестным, если бы остановился на рекламной части. Замена сети кафе на свою решает одну конкретную проблему и оставляет остальные ровно там же, где они были.

• Мобильная сеть всё равно видит устройство на вышке. Грубая геолокация идёт вместе с сотовой связью — версии мобильного интернета без неё не существует.
• Ваши аккаунты по-прежнему вас идентифицируют. Вход в привычную почту с нового подключения раскрывает вас провайдеру этой почты точно так же.
• Приложения всё равно отчитываются домой. Подключение никак не меняет то, что программы на телефоне решают отправить.
• Это не шифрование. Личная линия связи — не замена TLS или VPN, а уровень под ними.

Полная модель угроз, включая то, что оператор сети может и не может узнать, разобрана в статьях о границах приватности и можно ли отследить eSIM?.