Публичный Wi-Fi в кафе, отеле и аэропорту: как работать без риска

01Чем на самом деле рискуешь в открытой сети

Большинство сайтов и рабочих сервисов уже передают данные по защищённому протоколу HTTPS, поэтому прочитать вашу переписку в почте из соседнего кресла не получится. Риски в другом. Владелец точки или посторонний в той же сети видит, к каким адресам вы обращаетесь, может подсунуть поддельную страницу входа, а некоторые приложения до сих пор отправляют данные без шифрования.

Отдельная угроза касается самого устройства. В общей сети ваш ноутбук виден другим участникам, и если на нём открыт общий доступ к папкам или включены лишние службы, к ним можно попробовать подключиться. Поэтому защита в публичном Wi-Fi строится из трёх слоёв: правильно выбранная сеть, закрытое устройство и шифрование всего трафика.

02Поддельная точка с похожим названием

Злоумышленнику достаточно ноутбука или карманного роутера, чтобы раздать рядом с настоящей сетью свою, с именем «Airport_Free_WiFi» или «Cafe_Guest». Устройства охотно подключаются к той, у которой сигнал сильнее, а пользователь не видит разницы. Через такую точку весь трафик идёт через чужое устройство, и оно может подменять страницы или собирать то, что передаётся без шифрования.

• Уточните точное название сети у персонала и сверьте его с табличкой на стойке.
• Насторожитесь, если видите две сети с почти одинаковыми именами, одну с паролем, другую без.
• Не подключайтесь к сети, которая просит установить сертификат, профиль или «программу для доступа».
• Если браузер предупреждает о проблеме с сертификатом сайта, закройте страницу и не нажимайте «продолжить».

03Страница входа: что на ней можно вводить

В отелях и аэропортах после подключения обычно открывается страница входа, её называют captive-портал. Там просят принять условия, ввести номер комнаты или телефон для кода. Это нормально, но помните: страница показывается до того, как вы получили доступ в интернет, и подделать её проще, чем сайт банка с проверенным сертификатом.

Правило простое. На странице входа можно ввести номер комнаты, фамилию или код из SMS. Не вводите там пароль от почты или рабочего аккаунта и данные карты, даже если портал предлагает «войти через соцсеть». Сразу после входа включите шифрованное подключение: до этого момента оно часто не может соединиться, потому что портал перехватывает все запросы.

04Настройки ноутбука и телефона перед выходом из дома

Эти настройки делаются один раз и потом работают во всех поездках и кафе. Пройдитесь по ним дома, когда есть время спокойно разобраться с меню, а не за пять минут до посадки с ноутбуком на коленях. Большинство пунктов занимает меньше минуты.

1. Отключите автоподключение к открытым сетям, а после поездки удалите из списка сохранённые сети аэропортов и отелей.
2. В Windows выбирайте для публичной сети профиль «Общедоступная»: он скрывает устройство от других участников и отключает общий доступ к файлам.
3. В macOS выключите общий доступ к файлам и экрану в системных настройках, а AirDrop переведите в режим «Только для контактов».
4. Включите встроенный брандмауэр: в Windows он обычно уже работает, в macOS его часто нужно включить вручную.
5. Установите обновления системы и браузера до выезда: в них закрывают известные уязвимости.
6. Выключайте Bluetooth и общий доступ к принтерам, когда они не нужны.

05Пароли и второй фактор: страховка на случай ошибки

Даже аккуратный человек однажды вводит пароль не на той странице. Смягчить последствия помогают две вещи. Первая: двухфакторная защита на почте, рабочих аккаунтах и в банке. С ней одного украденного пароля мало, нужен ещё код или подтверждение на телефоне. Ключи доступа и приложения-аутентификаторы надёжнее SMS, но и SMS полезнее, чем ничего.

Вторая: менеджер паролей. Он хранит уникальный пароль для каждого сервиса и подставляет его только на настоящем адресе сайта. Если поддельная страница выглядит как вход в почту, но адрес у неё другой, менеджер просто не предложит автозаполнение. Это хороший сигнал остановиться и проверить, куда вы попали.

06Шифрованное подключение ко всему трафику

HTTPS защищает отдельные сайты, а шифрованное подключение закрывает весь трафик устройства сразу: браузер, почтовый клиент, мессенджеры, обновления программ и DNS-запросы. Владелец точки доступа видит только то, что устройство обменивается зашифрованными данными с точкой подключения, и не может подменить страницы по пути. В публичной сети это базовый слой защиты поверх остальных.

ZenWorks работает на Windows, macOS, Linux, iOS и Android, одна подписка покрывает до 5 устройств на Standard или до 10 на Premium. Выбирайте точку поблизости, чтобы задержка оставалась небольшой: например, Сингапур, если вы в Юго-Восточной Азии, или Турцию, если работаете с побережья. История посещённых сайтов, DNS-запросы и содержимое трафика не хранятся.

Помните о границах этой защиты. Шифрование не делает слабый Wi-Fi быстрее и не спасёт, если вы сами ввели пароль на поддельной странице. Поэтому оно работает вместе с менеджером паролей и вторым фактором, а не вместо них, и включать его стоит сразу после входа в сеть.

07Раздача с телефона как альтернатива

Если работа связана с деньгами, договорами или доступами клиентов, проще вообще не подключаться к чужой сети. Включите точку доступа на телефоне, поставьте длинный пароль и выберите в настройках раздачи защиту WPA2 или WPA3. Мобильная сеть оператора не делит эфир с посетителями кафе, а к вашей раздаче подключитесь только вы.

Минусы известны: расход мобильного трафика и быстрая разрядка телефона. Держите его на зарядке и ставьте на паузу фоновые синхронизации на ноутбуке, пока работаете через раздачу. Как собрать связь в поездке с запасным каналом, мы разобрали в чек-листе для работы из поездки.