В публичной сети действует одно правило: операции с деньгами и криптовалютой откладываются до возвращения в доверенную сеть. Если отложить нельзя, используйте мобильный интернет вместо чужой точки доступа — он безопаснее любой открытой сети в кафе или аэропорту. Само по себе подключение к публичному интернету не крадёт средства, опасность создают действия, которые вы в нём совершаете.

Ниже — что на самом деле угрожает пользователю в открытой сети, почему поддельная точка доступа опаснее прослушивания, где помогает частная сеть, а где нет, и как выглядит безопасный порядок работы вне дома.

Три разные угрозы

Слово «опасный Wi-Fi» покрывает несколько несхожих сценариев, и меры защиты у них разные.

Первая — поддельная точка доступа. Злоумышленник поднимает сеть с названием вроде «Airport_Free_WiFi», вы подключаетесь, и весь трафик идёт через его оборудование, а он решает, какие страницы вам показать.

Вторая — перехват. Точка доступа настоящая, но к ней подключены посторонние устройства, способные видеть часть обмена и вмешиваться в него.

Третья не связана с сетью вовсе.

Наблюдение за экраном, съёмка ввода данных на камеру, оставленное без присмотра разблокированное устройство — эти риски существуют в любом людном месте и не имеют отношения ни к шифрованию, ни к качеству точки доступа, зато реализуются заметно чаще технических атак.

Что защищено, а что нет

Две средние строки важнее прочих. Замок в адресной строке перестал быть аргументом: соединение с фишинговой копией шифруется ровно так же, как с оригиналом, а установка предложенного сетью сертификата даёт её владельцу возможность читать защищённый трафик.

Как выглядит подмена на практике

Разберу типовой сценарий по шагам, потому что в изложении он звучит абстрактно.

1. Вы подключаетесь к сети с правдоподобным именем, не уточнив его у персонала.
2. Открывается страница входа с просьбой авторизоваться — через почту, соцсеть или номер телефона.
3. Форма выглядит знакомо, потому что скопирована с настоящей страницы известного сервиса.
4. Введённые данные уходят к владельцу сети, а вас перебрасывает на настоящий сайт, и подмены никто не замечает.
5. Через несколько дней происходит вход в ваш аккаунт с чужого устройства.

Ключевой момент — четвёртый. Переброс на настоящий сайт создаёт ощущение, что всё прошло штатно, и связать поздние события с той страницей входа человек уже не может.

Защита здесь одна и она не техническая. Публичная сеть не должна требовать входа в ваши личные учётные записи: для доступа в интернет достаточно подтверждения по номеру или кнопки согласия с условиями, и всё, что просит больше, стоит закрыть.

Порядок работы вне дома

1. Отключите автоматическое подключение к известным сетям. Устройство иначе само соединится с точкой, назвавшейся привычным именем.
2. Предпочитайте мобильный интернет. Раздача с телефона безопаснее любой открытой сети, а трафика на разовые задачи уходит немного.
3. Уточните название сети у персонала заведения, если пользуетесь чужой точкой. Похожих названий рядом обычно несколько.
4. Не устанавливайте ничего по требованию сети: ни сертификатов, ни профилей, ни приложений.
5. Отложите финансовые операции. Проверить баланс можно, а переводить средства, подтверждать сделки и вводить секретные данные — нет.
6. Следите за экраном и устройством. Разблокированный телефон на столе опаснее незашифрованного трафика.
7. После работы забудьте сеть в настройках, чтобы устройство не подключалось к ней автоматически в следующий раз.

Второй пункт снимает половину вопроса. Мобильная сеть не идеальна, но подключение к ней не создаёт ситуации, в которой посторонний человек управляет вашим маршрутом к сайтам.

Что взять с собой в поездку

Подготовка занимает вечер и снимает необходимость решать вопросы на месте.

Последняя строка выручает. Потеря телефона в поездке отрезает не только связь, но и второй фактор входа во все аккаунты сразу, и заранее сохранённые коды восстановления решают проблему за минуты вместо недели переписки с поддержкой.

Помогает ли частная сеть

Помогает не от всего.

Такой сервис шифрует трафик до своего сервера и скрывает от владельца точки доступа, куда именно вы обращаетесь, поэтому от перехвата в открытой сети он защищает.

А вот от подделки сайта — нет.

Если вы перешли на фишинговую копию и ввели там данные, шифрование канала передаст их злоумышленнику в целости и сохранности; точно так же оно не поможет против вредоносной программы на самом устройстве и против человека, стоящего у вас за плечом.

Есть и обратная сторона. Пользуясь таким сервисом, вы переносите доверие с владельца точки доступа на владельца сервиса, поэтому бесплатные решения неизвестного происхождения обычно ухудшают положение, а не улучшают.

Отдельно про криптовалюту

Здесь цена ошибки выше, чем в банковском приложении.

• Перевод в блокчейне необратим: банк иногда успевает остановить платёж, сеть — никогда
• Подпись, выданная по ошибке, действует до отзыва разрешения и срабатывает в удобный злоумышленнику момент
• Секретная фраза, введённая один раз где угодно, компрометирует кошелёк навсегда
• Восстановить доступ через поддержку невозможно: обязанного лица не существует
• Адрес получателя легко подменяется в буфере обмена, и проверить его можно только посимвольно

Отсюда моё правило. В поездке на устройстве остаётся расходный кошелёк с суммой, потерю которой я переживу, а всё остальное лежит на аппаратном устройстве дома и в дороге недоступно физически.

Чек-лист для поездки

• ✓ Автоподключение к сетям отключено
• ✓ На устройстве только расходный кошелёк
• ✓ Резервная копия фразы осталась дома, а не в телефоне
• ✓ Включена блокировка экрана и таймаут гашения
• ✓ Финансовые операции отложены либо идут через мобильный интернет
• ✓ Приложения и система обновлены до выезда
• ✗ Никаких сертификатов и профилей по требованию сети
• ✗ Никакого ввода секретной фразы вне дома
• ✗ Никаких оставленных без присмотра разблокированных устройств

Проверка адреса страницы перед подключением кошелька разобрана в отдельном материале про проверку ссылки, а годовая гигиена хранения — в чек-листе безопасности криптокошелька.

Куда идти дальше

Всё держится на номере телефона. Порядок защиты от подмены SIM-карты разобран в материале про защиту от подмены SIM-карты, а признаки подделок в браузере — в тексте про поддельные расширения кошельков.

Первоисточники: разбор правил защиты криптокошелька от взлома с описанием подмены адреса в буфере обмена и обзор актуальных фишинговых схем и мер против них.