Veřejná Wi-Fi a VPN: kdy se chránit a jak na to

Kavárna, hotel, nádraží nebo letištní hala: téměř všude dnes najdete síť, která se připojí jedním klepnutím. Pohodlí je zřejmé, rizika méně. Tento text vysvětluje, co se na cizí Wi-Fi může stát, co skutečně dělá VPN a co naopak vyřeší jiné, mnohem obyčejnější návyky. Nic z toho nevyžaduje technické znalosti ani placenou službu.

Co je na veřejné Wi-Fi jiné než doma

Doma znáte router, heslo a lidi, kteří jsou v síti. Na veřejné síti nevíte nic z toho. Provozovatel vidí, co se přes jeho zařízení posílá, a do stejné sítě se může připojit kdokoli, kdo je poblíž. Samotné připojení k síti přitom není nebezpečné. Nebezpečné je to, co po ní necháte putovat bez ochrany.

V praxi se řeší tři situace:

• Odposlech provozu. Pokud spojení mezi vámi a webem není šifrované, může ho v otevřené síti číst někdo třetí.
• Podvržená síť. Někdo si vytvoří vlastní hotspot s důvěryhodně znějícím jménem, například podle názvu kavárny. Připojíte se k němu a veškerý provoz jde přes cizí zařízení.
• Útok typu man-in-the-middle. Útočník se postaví mezi vás a protistranu, čte zprávy a případně je upravuje. Nepotřebuje k tomu být fyzicky u vašeho telefonu, stačí, že se dokáže dostat do cesty provozu.

Právě proto má smysl u každého veřejného připojení počítat s tím, že síť je cizí a nemusí být čestná.

Co dnes většinou chrání samo šifrování webů

Dobrá zpráva je, že velká část provozu je dnes šifrovaná. Adresa začínající https znamená, že mezi prohlížečem a webem běží šifrované spojení. HTTPS podle encyklopedického popisu zajišťuje tři věci: ověření identity webu pomocí certifikátu, důvěrnost přenášených dat a jejich neporušenost cestou. Proto z něj nemůže provozovatel Wi-Fi ani náhodný soused v síti běžně vyčíst, co si na stránce vyplňujete.

Z toho plynou dvě praktická pravidla:

1. Citlivé věci (banka, e-mail, práce) otevírejte jen na stránkách s https. Když prohlížeč hlásí problém s certifikátem, spojení ukončete a nepokračujte „přesto“.
2. Pokud se na vás přihlašovací stránka hotelové sítě chová divně, chce po vás nečekaně mnoho údajů nebo vás nutí stáhnout nějaký program, zavřete ji. Na běžné připojení stačí souhlas s podmínkami, případně číslo pokoje.

Co dělá VPN a co ne

VPN, česky virtuální privátní síť, je způsob, jak propojit počítače přes nedůvěryhodnou síť. Mezi zařízením a VPN serverem vznikne šifrovaný tunel, obě strany se přitom vzájemně ověřují. Klasické využití je firemní: zaměstnanec s notebookem se odkudkoli připojí do vnitřní sítě firmy, jako by seděl v kanceláři.

Když VPN použijete na veřejné Wi-Fi, provoz mezi vaším zařízením a serverem VPN je pro ostatní v síti nečitelný. To je užitečné, ale nemá to kouzelnou moc.

Popis technologie navíc upozorňuje na dvě omezení. Chyby v softwaru mohou ochranu narušit a v praxi existují aplikace, které samy o sobě bezpečné nejsou. VPN je tedy jedna vrstva ochrany, ne záruka.

Komu se VPN vyplatí

Nejjasnější případ je firemní VPN, kterou vám zřídil zaměstnavatel: používejte ji vždy, když pracujete mimo kancelář, hlavně na cizí síti. U soukromé VPN zvažte, komu svůj provoz svěřujete. Provoz totiž neprochází vámi zvolenou kavárnou, ale provozovatelem VPN, takže se jen mění, komu důvěřujete. Vybírejte služby, o kterých si najdete nezávislé informace, a vyhýbejte se aplikacím, které slibují „bezpečný internet zadarmo“ bez jasného vysvětlení, z čeho žijí.

Jak se na cizí Wi-Fi chovat

Před připojením

• Zeptejte se na přesný název sítě u obsluhy nebo na recepci. Podvržené hotspoty často kopírují známá jména.
• Vypněte automatické připojování k známým a otevřeným sítím. Telefon se pak nepřipojí sám k síti, kterou nevidíte.
• Preferujte síť s heslem před otevřenou. Zastaralé zabezpečení WEP bylo prolomeno už v roce 2001 a WPA s algoritmem TKIP se dá prolomit také. Dnes běžné WPA2 s šifrováním AES je považováno za bezpečné a novější WPA3 z roku 2018 je další krok, i když ani ono není bez zranitelností. Heslo napsané na tabuli v kavárně ale znají všichni hosté, takže samo o sobě vás před ostatními nechrání.

Po připojení

• Na veřejné síti nedělejte platby ani správu financí, pokud to jde odložit. Mobilní data v telefonu jsou pro takové úkoly obvykle rozumnější volba.
• Vypněte sdílení souborů a tiskáren a nastavte síť jako veřejnou, aby operační systém používal přísnější pravidla.
• Když potřebujete pracovat s počítačem, můžete telefon použít jako hotspot. Vlastní síť s vlastním heslem odpadá potíž s cizím provozovatelem.
• Po odchodu se od sítě odhlaste a nechte ji zapomenout, ať se k ní zařízení příště nepřipojí samo.

Ochrana, která funguje všude

Většina škod z cizí Wi-Fi nevznikne kvůli technice, ale proto, že je jedno heslo prozrazené nebo účet špatně chráněný. Britský národní úřad pro kybernetickou bezpečnost mezi základními radami uvádí aktualizace softwaru a aplikací, které obsahují důležité bezpečnostní opravy, dvoukrokové ověření pro účty a správce hesel, který pomáhá hesla vytvářet a pamatovat si je. Podobně americký úřad CISA doporučuje správce hesel jako praktické řešení pro více složitých hesel.

Když máte na důležitých účtech zapnuté dvoukrokové ověření, pak i uniklé heslo nestačí k přihlášení. Kdo to už udělal, může na veřejné síti fungovat klidněji. Nastavit ho zabere pár minut a chrání vás na každé síti, nejen na cizí. O hrozbách, které se týkají firem, píšeme v textu Kyberbezpečnost pro malé firmy.

K opatrnosti patří i pozornost při nakupování na cestách. Podvodné stránky se na veřejné síti nechovají jinak než doma, ale nepozornost je tam větší. Jak takový obchod rozpoznat, vysvětluje článek Nákup na neznámém e-shopu: jak ověřit prodejce a poznat podvod.

Co dělat, když máte pochybnost

Stane se, že se připojíte a teprve pak vás napadne, jestli byla síť důvěryhodná. Nepanikařte, ale nenechte to plavat:

1. Odpojte se od sítě a nechte ji v zařízení zapomenout.
2. Pokud jste na ní zadali heslo nebo platební údaje, změňte heslo z jiného připojení, nejlépe z mobilních dat, a zkontrolujte poslední aktivitu v účtu.
3. U důležitých účtů zapněte dvoukrokové ověření, pokud ho ještě nemáte.
4. Při podezřelých platbách kontaktujte banku a požádejte o radu, jak kartu ochránit.

Stejný postup platí, když vás síť nutila k instalaci programu nebo profilu. Takovou aplikaci odinstalujte a zvažte kontrolu zařízení bezpečnostním programem.

Časté otázky

Je bezpečné přihlásit se do e-mailu na hotelové Wi-Fi?

Většinou ano, pokud služba používá šifrované spojení (adresa s https, případně oficiální aplikace) a máte zapnuté dvoukrokové ověření. Rizikovější je, když ignorujete varování prohlížeče o certifikátu. To je znamení, že spojení neběží tak, jak má.

Stačí mi VPN, abych mohl(a) používat jakoukoli síť?

Ne. VPN skryje provoz před ostatními v síti, ale neochrání vás před podvodnou stránkou ani před nakaženým zařízením. Slouží jako jedna z vrstev, ne jako náhrada opatrnosti a aktualizací.

Je lepší mobilní hotspot, nebo veřejná Wi-Fi?

Pro citlivé úkoly je rozumnější vlastní připojení přes mobilní data, případně hotspot z telefonu s vlastním heslem. Veřejnou síť si nechte na méně důležité činnosti, například čtení zpráv.

Poznám podvržený hotspot podle názvu?

Ne vždy, protože název lze snadno okopírovat. Proto se doptejte obsluhy na přesné jméno sítě a zvažte, jestli se k ní vůbec připojovat, když si nejste jistí.

Má smysl vypnout automatické připojování k sítím?

Ano. Zařízení se pak nepřipojí samo k síti, kterou jste si nevybrali, a vy máte přehled o tom, kam se připojujete.