Список реальных рисков
1. Network snooping
Любой на той же сети с tools типа Wireshark может видеть незашифрованный трафик. Сегодня большинство HTTPS — содержимое защищено. Но видны: DNS-запросы, домены (через SNI), размер и тайминги пакетов.
2. Evil twin AP
Атакующий поднимает свою WiFi-точку с именем легитимной сети. Юзеры подключаются автоматом если их устройство помнит сеть с таким именем.
3. MITM на DNS
Оператор сети контролирует DNS — может направлять "google.com" на свой сервер. Юзер думает что на Google, а это фейковая страница.
4. Captive portal exploits
Страница "соглашение" перед доступом к WiFi иногда содержит инжектируемый JavaScript, tracking pixels или fake login форму.
5. Auto-connecting к open WiFi
iOS/Android могут автоматом подключаться к открытым WiFi с известными именами ("McDonald's WiFi"). Атакующий поднимает такую — твой телефон подключается без твоего ведома.
6. Network-уровень malware
Скомпрометированные роутеры могут инжектить malicious скрипты в HTTP-страницы. Реже на HTTPS, но возможно через скомпрометированные CA cert'ы.
Что HTTPS защищает
- Содержимое подключения к сайту.
- Пароли в формах (если на сайте HTTPS).
- Cookies и session данные.
Что HTTPS НЕ защищает
- Какие сайты ты посещаешь (SNI в TLS-handshake).
- DNS-запросы.
- Метаданные трафика.
- HTTP-сайты (не-HTTPS).
- Подключения к локальным устройствам (часто HTTP).
Как ВПН помогает
Шифрует всё между устройством и ВПН-сервером. Сетевые наблюдатели видят только трафик к ВПН-серверу. Никаких доменов, DNS-запросов, направлений.
Кроме того:
- Если evil twin AP — ВПН-туннель всё равно идёт от твоего устройства, операторам сети не дать содержимое.
- Если DNS hijack на сети — DNS-запросы идут через ВПН-туннель к надёжному резолверу.
- Если captive portal injection — ВПН активен после соглашения с порталом, инжекты не работают.
Что ВПН не решает
- Malware на устройстве.
- Atomic-уровень атаки (например при подключении к WiFi до запуска ВПН).
- Compromised root CAs на устройстве.
Best practices на публичном WiFi
- Включай ВПН до подключения к WiFi (если возможно).
- Юзай always-on VPN режим (Android: Settings → Network → VPN → Always-on).
- Отключи auto-connect к open WiFi сетям.
- Юзай kill switch — если ВПН упадёт, трафик не идёт.
- Минимум доверия captive portals — не вводи реальный email/пароль.