Když se řekne veřejná Wi-Fi síť, odborníci na kybernetickou bezpečnost se obvykle zhrozí. Připojit se k internetu lze mnoha různými způsoby a za pomoci různých technologií. Dělat závěry na těch nejhorších příkladech by bylo unáhlené, protože třeba bezpečnost pečlivě spravovaného připojení ve veřejné dopravě může být v mnoha ohledech dokonce vyšší, než bezpečnost routeru, který máte doma, nemluvě o lokální kavárně, kde se o Wi-Fi nikdo poslední roky nestaral. Na palubě jedoucího vlaku či autobusu je sám sobě největším rizikem uživatel, pokud podceňuje varovné signály a chová se na síti nezodpovědně. Pojďme si říct, proč Wi-Fi ve veřejné dopravě nemusí znamenat vysoké bezpečnostní riziko, co jsou největší hrozby a jak je poznat a vyhnout se jim.

V digitálním prostoru existuje několik způsobů, jak z uživatelů podvodným způsobem získat zpeněžitelné údaje. Těmi mohou být přímo uživatelská jména a hesla, případně jiné přístupy do banky, e-mailu a dalších služeb uživatele. Pro hackery jsou lákavé ale i obecnější informace, které potom využívají k útokům šitým na míru oběti. Různé podrobnosti o životě uživatelů využívají k sociálnímu inženýrství a pod zdánlivě důvěryhodným vystupováním jménem banky, pojišťovny či policie se snaží ze svých obětí vylákat určitou platbu.

Veřejné Wi-Fi sítě mají auru nebezpečného místa, které je hackery prolezlé. Jednou z nejběžnějších rad bývá, že na veřejné sítě je nejlepší se nepřipojovat, a když už, tak jen pro obyčejné brouzdání internetem bez jakéhokoliv přihlašování k citlivým účtům. Vše citlivé, jako je typicky používání internetového bankovnictví, se radí provádět na mobilních datech, aby se minimalizovalo riziko, že někdo „odposlechne“ citlivé údaje. To ale může být v kovové konstrukci vlaku či autobusu problém, protože tam mobilní signál leckdy není dostatečně silný. A někdy prostě data dojdou.

Jaká jsou obecná rizika veřejných Wi-Fi sítí?

Debaty o bezpečnosti veřejných Wi-Fi sítí se obvykle točí kolem několika druhů útoků. Jedním z nejčastějších je scénář, ve kterém hacker vytvoří Wi-Fi síť se stejným názvem, jako je ten oficiální. A zařízení uživatelů se k ní začnou připojovat. Podvrženou síť má útočník zcela pod kontrolou a může tak odposlouchávat některé informace o uživatelích, jako které stránky a online služby si otevírají a odposlouchávat data, která jsou přenášena v nezašifrované podobě. Ukrást tímto způsobem nějaká citlivá data ale dnes není vůbec snadné, pokud tedy uživatel nepodcení všechna varování.

Podle společnosti Google je dnes 95 % veškeré webové komunikace šifrováno pomocí HTTPS certifikátů, takže hacker i při nejlepší konstelaci získá jen hromadu zašifrovaného balastu, ze kterého žádné heslo vyčíst nedokáže. Jako uživatel nesmím ale upozornění na podezřelou aktivitu podceňovat, naopak se musím vyhnout zadávání jakýchkoliv informací na stránkách, které používají nezašifrované HTTP spojení.

Jak dnes útoky prostřednictvím podvržených Wi-Fi sítí probíhají?

Místo přímé krádeže hesel a uživatelských účtů se proto hackeři uchylují k tomu, že údaje o provozu na podvržené Wi-Fi síti využívají k přesnému zacílení phishingových útoků, které podnikají skrze podvržené stránky a zprávy. Z uživatele například mohou při přihlášení k Wi-Fi síti vylákat e-mailovou adresu, kterou oficiální provozovatelé často vyžadují také. Potom hackeři mohou zjistit, k jaké online službě se uživatel na podvržené síti připojil. A nakonec mu pošlou cílený phishingový e-mail, který je k nerozeznání od zprávy jeho banky, pojišťovny nebo jakékoliv jiné společnosti. Pokud se uživatel e-mailem proklikne ke svému účtu a zadá své přihlašovací údaje nebo údaje o kartě do formuláře na podvržené stránce, útočník slaví úspěch.

Tento typ útoku je klasický phishing, kdy hacker doufá, že si oběť podvodu nevšimne a zadá své reálné údaje do prostředí ovládaného hackerem. Existuje mnoho variant takového útoku, podvržená stránka může být zcela k nerozeznání od té pravé, včetně správné adresy a zdánlivě existujícího HTTPS certifikátu. Ten je ale vydán jiným subjektem, než bankou, ke které se uživatel připojuje normálně, na což některé prohlížeče už dnes dokáží upozornit.

Zásady bezpečného chování na veřejné Wi-Fi síti

To se týká každé veřejné Wi-Fi sítě obecně, té v kavárně i té u vás doma. Podvrhnout Wi-Fi síť není pro hackera vůbec složité, ale jako uživatel mohu svou ochranu rapidně zvýšit, pokud dodržím několik bezpečnostních zásad:

• Pokud vidím ve svém zařízení dvě Wi-Fi sítě s identickým názvem, ani k jedné se nepřipojuji a nahlásím své podezření provozovateli sítě.
• Na veřejných sítích si dávám pozor, že veškeré stránky mají v adresovém řádku ikonku zámečku, připojení je tedy HTTPS šifrované.
• Neignoruji žádné upozornění operačního systému, prohlížeče či antivirového programu, a pokud se mi cokoliv nezdá, raději se od sítě odpojím a nezadávám žádné citlivé údaje.
• V případě nutnosti použít internetové bankovnictví kontroluji kliknutím na ikonku zámečku v adresovém řádků vydavatele HTTPS certifikátu, kterým musí být moje banka.
• Pokud to lze, používám pro připojení k citlivým službám mobilní aplikace, které oproti prohlížečům využívají ještě bezpečnější end-to-end připojení.

Internet ve vlaku není stejný, jako ten v kavárně

Připojení v jedoucím dopravním prostředku je zvláštním typem veřejné sítě. Tradiční rada využívat pro svá zařízení mobilní data na palubě vlaku tu selhává, narozdíl od kavárny v centru městu nemusí být mobilní data dostupná. A navíc je přes Wi-Fi síť ve vlaku často dostupný infotainment se zábavou, informacemi o cestě, online objednávkami jídla a dalšími službami, tak se o tuto možnost ochuzovat? Stejně tak nefunkční může být rada využít nástroje pro VPN, které připojení kromě několika (placených) výjimek zpomalují a jsou náchylné na latenci.

Není potřeba ale panikařit, Wi-Fi síť na palubě může nabídnout několik bezpečnostních prvků, které v kavárně nenajdete. Při dodržování pravidel bezpečného chování na  veřejné Wi-Fi síti se nemusím připojení ve vlaku nebo autobuse bát, i když i tam záleží na tom, jak se k tomu dopravce postaví a jakého si zvolí dodavatele. Pokud se budeme bavit o našem řešení, které najdete i v některých českých vlacích, tak přenos dat na palubě probíhá skrze pevně danou infrastrukturu síťových prvků. Veškeré routery, access pointy a další síťová zařízení jsou ve vlaku fixně provázaná – jedno o druhém vědí.

V případě, že se někdo pokusí do sítě přidat podezřelý síťový prvek, například Wi-Fi síť se stejným názvem, dokážeme na to reagovat a okamžitě to hlásit jako podezřelou aktivitu ke kontrole. Teoreticky existuje riziko dalšího typu útoku, kterým by bylo získání kontroly na síťovými prvky na palubě, ale to se minimalizovat pravidelnou údržbou a kontrolou IT infrastruktury. Dopravní sektor si je těchto rizik dlouhodobě vědom, proto je například datový provoz mezi uživateli a řízením vlaku oddělen na úrovni hardwaru a požadavky na bezpečnost digitálních služeb na palubě se neustále zvyšují.

Při připojení k Wi-Fi síti ve vlaku by měl být každý uživatel připojen izolovaně, což hackerům znemožní na síti vyhledávat zranitelná zařízení a útočit na konkrétní uživatele. Pokud chcete být extra obezřetní, můžete si to i sami zkontrolovat – tyto možnosti ale ocení spíše jen nadšenci. Jednoduchá aplikace v mobilu zvládne proskenovat dostupné Wi-Fi sítě a upozornit na jejich případná rizika. Pokud izolace uživatelů v dané síti není, uvidím veškerá aktuálně připojená zařízení, kterých mohou být v hromadné dopravě i stovky. Takový stav je nežádoucí a obvykle znamená velký vykřičník, co se týče bezpečnosti připojení.

Další bezpečnostním prvkem ve vlaku je přihlašování uživatelů k veřejným sítím. Toto přihlášení by mělo probíhat přes zabezpečenou HTTPS captive stránku, protože jakmile jsem jednou přihlášen ke správné síti, jsou další rizika výrazně nižší. Veřejné sítě nemají špatnou reputaci jen kvůli tomu, že by připojení k nim bylo riskantní, ale i proto, že s jejich pomocí hackeři anonymně napadají cíle kdekoliv na světě. Pokud tedy po mně chce provozovatel nějakou formu autentizace pro připojení k Wi-Fi síti pro mou identifikaci, například vyžaduje ověření telefonního čísla pomocí SMS zprávy, klade tím hackerům překážku ve využívání veřejné sítě k anonymním útokům.

Do Passengery nám čas od času chodí výzvy od policie, abychom pomohli identifikovat určitého uživatele, který v určitý čas například psal rasistické komentáře z některé z veřejných Wi-Fi, které technicky zajišťujeme, nebo vykonával na síti jiné protizákonné aktivity. Podle konkrétního prostředí umíme z logů vyčíst buď jen MAC adresu zařízení, nebo v případě zemí, kde je ověření telefonního čísla povinné, dokážeme aktivitu vystopovat až ke konkrétnímu uživateli. V případě některých zemí je většina čísel vydávána proti občanskému průkazu, identifikace je tak mnohem detailnější a slouží ke zvýšení bezpečnosti, ne jenom ke sběru nadbytečných dat.

Měli jste pocit, že domácí Wi-Fi je bezpečná?

Připojení ve vlaku či autobuse není bezpečnější pouze ve srovnání s průměrnou kavárnou. Může být často bezpečnější i než připojení, které používáte doma. Není žádnou vzácností, že router, na který se uživatelé připojují doma, je sám o sobě časovanou bezpečnostní bombou. Ať už jde o nejbanálnější zanedbání změny továrního hesla k administračnímu systému routeru, zastaralý firmware nebo nevhodné nastavení zabezpečení připojení, představuje domácí router riziko vzniku bezpečnostních děr, které hackeři s oblibou zneužívají.

V hromadné dopravě se mnoho dopravců o připojení pečlivě stará, i když i zde jsou výjimky. Ideálním stavem je, když vše běží na moderním hardwaru s úrovní zabezpečení, kterou není možné dosáhnout v domácím prostředí. Dopravní operátoři mají ale k udržování vysoké bezpečnosti na palubách i další motivy. Stále více lidí při dojíždění vyřizuje pracovní e-maily nebo úkoly, takže rychlá a bezpečná možnost připojení za jízdy je pro zatraktivnění hromadné dopravy nedocenitelná. Možnost při dojíždění produktivně pracovat může být strategickou výhodou oproti konkurenci, ale i způsobem jak pomoci udržitelnosti a ochraně životního prostředí.

Bezpečnost připojení se v hromadné dopravě neustále zvyšuje. Přicházejícím trendem jsou v evropské dopravě detailnější metody ověřování uživatelů, například pomocí SMS zpráv na telefonní číslo, které provoz na veřejných Wi-Fi sítích deanonymizují a znemožní tak jeho využití k hackerským útokům, nebo jiné nekalé aktivitě. Navíc přichází WPA3, který zvýší bezpečnost přihlašování uživatelů k Wi-Fi sítím, a sníží tak riziko připojení k podvržené síti. Připojení k internetu v hromadné dopravě rozhodně není strašákem, kterého by se cestující měli bát – stačí, když se budeme na internetu chovat stejně obezřetně, jako na palubě.