Julkinen wifi: mitä siinä oikeasti voi mennä pieleen

Kahvilan wifi on ollut vuosikausia tietoturvapuheen vakioesimerkki. Varoitus kuului, että vieressä istuva ihminen voi napata salasanasi suoraan ilmasta. Väite oli aikanaan tosi, koska merkittävä osa sivustoista lähetti lomaketiedot salaamattomina ja selain ei sanonut siitä mitään. Sama varoitus toistetaan yhä, vaikka sen tekninen perusta on suurelta osin poistunut.

Vanhentunut varoitus on haitallinen kahteen suuntaan. Osa ihmisistä ostaa suojaa ongelmaan, jota ei enää ole. Toiset päättelevät, että koska pelottelu oli liioittelua, avoimessa verkossa ei ole mitään riskiä. Kumpikaan ei pidä paikkaansa. Riskit eivät kadonneet vaan vaihtoivat muotoa, ja uudet muodot kohdistuvat käyttäjän päätöksiin eivätkä liikenteen salaukseen.

Mitä salaus suojaa ja mihin sen suoja loppuu

Kun avaat sivuston, selain ja palvelin muodostavat salatun yhteyden. Sisältö, lomakkeet ja evästeet kulkevat salattuina, ja väliin jäävä verkko näkee vain sekamelskaa. Tämä on syy siihen, että kahvilan naapuri ei lue pankkitunnuksiasi. Miten yhteyden salaus syntyy ja mitä osoiterivin lukko todella takaa, on selitetty artikkelissa HTTPS ja varmenteet.

Salaus ei kuitenkaan piilota sitä, kenen kanssa puhut. Verkon ylläpitäjä näkee, mihin palvelimen osoitteeseen otat yhteyttä ja kuinka paljon liikennettä siirtyy. Usein hän näkee myös haetun verkkotunnuksen, koska nimipalvelukysely tehdään tavallisesti ennen yhteyden salaamista. Tästä syystä selaimen salattu nimipalvelukysely muuttaa tilannetta jonkin verran, mutta ei kokonaan: kohdepalvelimen osoite paljastuu joka tapauksessa. Mekanismi on avattu artikkelissa salattu DNS ja DNS-vuoto.

Toinen rajaus koskee verkon omaa salausta. Salasanalla suojatuissa verkoissa liikenne on salattu myös radiotiellä, ja uudemmat menetelmät antavat jokaiselle laitteelle oman avaimen. Täysin avoimessa verkossa radiotien salausta ei perinteisesti ole lainkaan, joten suoja lepää yksin sen varassa, että jokainen käyttämäsi palvelu on salattu. Käytännössä se pitää nykyään paikkansa, mutta se on ohuempi turvarakenne kuin monta päällekkäistä kerrosta.

Väärennetty tukiasema on helpompi kuin salakuuntelu

Wifi-verkon nimi on pelkkä tekstijono, jonka kuka tahansa voi asettaa omalle laitteelleen. Verkon nimi ei todista mitään siitä, kuka verkkoa ylläpitää. Hyökkääjän ei siis tarvitse murtaa mitään: hän pystyttää tukiaseman, antaa sille saman nimen kuin paikalliselle vierasverkolle ja odottaa, että laitteet liittyvät siihen.

Mitä tästä seuraa? Yhteyksien sisältöä hyökkääjä ei silti pysty lukemaan, jos palvelut ovat salattuja ja et ohita varoituksia. Mutta hän hallitsee koko verkkoa, ja se antaa kolme mahdollisuutta. Hän näkee kaikki yhteyskohteesi. Hän voi vastata nimipalvelukyselyihin haluamallaan tavalla ja ohjata liikenteen omalle palvelimelleen. Ja hän voi näyttää sinulle minkä tahansa sivun, jonka toivoo sinun täyttävän.

Juuri viimeinen kohta on olennainen. Verkkotason hyökkäyksestä tulee vaarallinen vasta, kun se muuttuu tietojenkalasteluksi. Tekninen suoja pitää, mutta ihminen ohitetaan.

Tässä kohtaa selaimen varoitus on tärkein yksittäinen turvamekanismi. Jos sinut ohjataan väärään paikkaan, selain ei saa oikeaa varmennetta ja näyttää sivun, jossa lukee että yhteys ei ole yksityinen. Sen ohittaminen on lähes aina virhe. Monilla suurilla sivustoilla ohitus ei ole edes mahdollinen, koska sivusto on ilmoittanut selaimelle, että sitä saa käyttää vain salatulla yhteydellä.

Kirjautumissivu totuttaa ohittamaan varoituksia

Julkiset verkot ohjaavat usein ensimmäisellä yhteydellä kirjautumissivulle, jossa hyväksytään käyttöehdot tai syötetään huoneen numero. Sivu toimii kaappaamalla ensimmäisen yhteydenoton ja ohjaamalla sen muualle. Tekniikka on juuri sitä, minkä selain muuten tulkitsisi hyökkäykseksi.

Tästä syntyy kaksi ongelmaa. Ensinnäkin käyttäjä oppii, että julkisessa verkossa selain käyttäytyy oudosti ja varoituksia klikataan läpi, jotta pääsee eteenpäin. Toiseksi kirjautumissivu on hyökkääjälle valmis muotti: väärennetyllä tukiasemalla voi näyttää sivun, joka pyytää sähköpostiosoitetta, puhelinnumeroa tai jopa maksukortin tietoja "vahvistusta varten".

Käytännön sääntö on yksinkertainen. Kirjautumissivulle annetaan korkeintaan sellaista tietoa, jonka voisi kirjoittaa ilmoitustaululle. Tunnuksia, kertakoodeja tai kortin numeroa ei anneta koskaan, olipa sivu miten uskottava tahansa. Jos verkko vaatii sovelluksen asentamista päästäkseen eteenpäin, kannattaa vaihtaa verkkoa.

Kirjautumissivun tunnistaa yleensä siitä, että se avautuu itsestään heti liittymisen jälkeen ja että osoiterivillä on jokin muu nimi kuin se, jonne olit menossa. Aito kirjautumissivu kysyy tyypillisesti vain käyttöehtojen hyväksyntää, huoneen numeroa tai lipputietoa. Jos sivu kysyy sähköpostin salasanaa, pankkitunnuksia tai puhelimeen tullutta koodia, kyseessä ei ole verkkoon kirjautuminen vaan yritys päästä johonkin tiliisi.

Mitä laitteesi paljastaa itsestään verkossa

Toinen unohdettu puoli on se, että liityt verkkoon, jossa on muita laitteita. Käyttöjärjestelmät kysyvät tästä syystä uuteen verkkoon liityttäessä, onko verkko yksityinen vai julkinen. Vastaus ei ole kosmeettinen: julkiseksi merkityssä verkossa käyttöjärjestelmä piilottaa laitteen löytämispalveluilta, sulkee tiedostojen jaon ja rajoittaa tulevaa liikennettä.

Kysymys tulee vastaan yleensä vain tietokoneella, ja puhelimissa vastaava valinta on piilotettu asetuksiin nimillä kuten yksityinen osoite tai rajoitettu verkkokäyttö. Jos vastaat väärin, laitteesi voi mainostaa verkossa nimeään, jaettuja kansioitaan ja tulostinjakojaan. Tämä ei tarkoita, että joku pääsee tiedostoihisi, mutta se antaa ulkopuoliselle listan kohteista ja laitetietoja, joita ei ole syytä jakaa vieraille. Kotona sama asetus toimii toisin päin, ja siellä hyvä ratkaisu vieraille on reitittimen vierasverkko, joka pitää vierailijoiden laitteet erillään omista.

Automaattinen liittyminen on riski, joka kestää vuosia

Laitteet muistavat verkot, joihin ne on kerran liitetty, ja liittyvät niihin uudelleen automaattisesti. Muistaminen perustuu käytännössä verkon nimeen. Avoimessa verkossa nimi on ainoa tunniste, joten mikä tahansa tukiasema, jolla on sama nimi, kelpaa laitteellesi.

Tästä seuraa epäintuitiivinen tulos. Jos olet joskus liittynyt lentokentän avoimeen verkkoon, puhelimesi voi liittyä samannimiseen verkkoon kotikadullasi kaksi vuotta myöhemmin, kysymättä mitään. Salasanalla suojatuissa verkoissa riski on pienempi, koska laitteen pitää saada oikea avain, mutta avoimissa verkoissa tarkistusta ei ole.

Korjaus on tylsä ja tehokas: poista tallennettujen verkkojen listalta ne avoimet verkot, joita et enää käytä, ja kytke automaattinen liittyminen pois julkisista verkoista. Molemmat löytyvät puhelimen wifi-asetuksista verkon nimen takaa.

Sama koskee sitä, että laite etsii jatkuvasti tuttuja verkkoja. Osa laitteista kysyy tallennettujen verkkojen perään aktiivisesti, mikä paljastaa lähistöllä olevalle kuuntelijalle listan paikoista, joissa olet käynyt. Vaikutus on lähinnä yksityisyydellinen eikä sinänsä avaa tietä laitteeseesi, mutta se on hyvä syy pitää tallennettujen verkkojen lista lyhyenä. Kytke wifi kokonaan pois silloin kun liikut etkä tarvitse sitä, niin laite lakkaa etsimästä.

Milloin VPN auttaa ja milloin mobiilidata riittää

VPN salaa liikenteen laitteelta palveluntarjoajan palvelimelle, joten paikallinen verkko ei näe kohteitasi eikä pysty ohjaamaan liikennettä väärään paikkaan. Se on aito hyöty juuri tuntemattomassa verkossa. Se ei kuitenkaan tee mitään kalastelulle, haittaohjelmille eikä sille, mitä palvelut sinusta tietävät. Rajat on käyty tarkemmin läpi artikkelissa VPN selitettynä rehellisesti.

Usein yksinkertaisempi vastaus on olla käyttämättä avointa verkkoa lainkaan. Puhelimen mobiiliyhteys on operaattorin verkko, jossa liikenne on salattu radiotiellä ja jossa kukaan paikalla oleva ei voi esittää tukiasemaa. Jos hoidat pankkiasian tai luet arkaluonteista sähköpostia, mobiiliyhteys tai puhelimen jakama yhteys on nopein tapa poistaa koko kysymys. Mitä datansiirto maksaa ja miten se käyttäytyy ulkomailla, on selitetty artikkelissa mobiilidata ja verkkovierailu.

Taulukko ei tarkoita, että mobiilidata olisi aina oikea vastaus. Se on kalliimpi, sitä ei aina ole saatavilla ja ulkomailla hinta riippuu liittymän ehdoista. Taulukon pointti on toinen: eri työkalut ratkaisevat eri rivejä, eikä yksikään niistä ratkaise kaikkia.

Taulukon viimeinen rivi on tärkein. Suurin osa siitä, mikä ihmisille julkisessa verkossa oikeasti menee pieleen, ei liity verkkoon lainkaan vaan siihen, mitä ruudulla pyydetään tekemään.

Näin liityt julkiseen verkkoon ilman turhaa riskiä

1. Tarkista verkon nimi henkilökunnalta tai paikan omasta opasteesta äläkä valitse listalta uskottavimman näköistä nimeä.
2. Vastaa käyttöjärjestelmän kysymykseen, että verkko on julkinen. Tämä sulkee tiedostojen jaon ja laitteen näkyvyyden.
3. Käytä kirjautumissivulla vain tietoja, jotka voisit kertoa ääneen. Ei tunnuksia, ei kertakoodeja, ei kortin numeroa.
4. Älä ohita selaimen varmennevaroitusta. Jos varoitus tulee, katkaise yhteys verkkoon.
5. Jos asia on kiireinen tai arkaluonteinen, siirry mobiiliyhteyteen ja jätä avoin verkko kokonaan väliin.
6. Poista verkko tallennetuista, kun olet valmis, tai kytke automaattinen liittyminen pois.
7. Pidä kaksivaiheinen tunnistautuminen päällä tärkeissä palveluissa, jotta pelkkä salasanan päätyminen väärään paikkaan ei riitä.

Mikä tässä on oikea suhteellisuudentaju

Julkinen wifi ei ole vaarallinen paikka samalla tavalla kuin kymmenen vuotta sitten. Uutiskirjeen lukeminen kirjaston verkossa on arkinen asia, jota ei kannata pelätä. Realistinen riskiarvio kuuluu, että salakuuntelu on epätodennäköistä, verkon ylläpitäjän näkyvyys yhteyskohteisiisi on varmaa, väärennetty tukiasema on mahdollinen mutta harvinainen, ja huijaus ruudulla on se, mikä oikeasti osuu ihmisiin.

Painopiste kannattaa siis siirtää verkosta laitteeseen ja omiin päätöksiin. Päivitetty käyttöjärjestelmä, päivitetty selain, varoitusten kunnioittaminen ja tunnistautuminen, joka ei kaadu yhden salasanan varaan, tuottavat enemmän turvaa kuin mikään yksittäinen verkkovalinta. Loput ratkeaa sillä, että pidät mielessä yhden asian: avoin verkko on vieraan hallitsema tila, ja siellä toimitaan kuin vieraassa tilassa.