وای‌فای عمومی

وای‌فای عمومی یعنی چی

«وای‌فای عمومی» یا «هات‌اسپات» (Hotspot) یعنی شبکه‌ی بی‌سیمی که برای همه، یا برای همه‌ی مشتری‌های یه جا، باز گذاشته شده؛ کافه، رستوران، فرودگاه، هتل، مرکز خرید یا کتابخونه. فرقش با وای‌فای خونه اینه که شما نمی‌دونید چه کسایی دیگه روش هستن، کی مدیریتش می‌کنه، و چطور تنظیم شده. سند ویندوز مایکروسافت مثال خوبی زده: شبکه‌ی خونه‌تون یه «شبکه‌ی خصوصی»‌ه که بیشتر دستگاه‌هاش مال شما و خانواده‌تونه؛ وای‌فای کافه‌ی محل یه «شبکه‌ی عمومی»‌ه که بیشتر دستگاه‌هاش مال غریبه‌هاست.

دیروز و امروز

اگه چند سال پیش درباره‌ی وای‌فای عمومی خونده باشید، احتمالا شنیدید «هیچ‌وقت به وای‌فای عمومی وصل نشید». راهنمای FTC، کمیسیون تجارت فدرال آمریکا، توضیح می‌ده چرا اون حرف اون موقع درست بود: اون روزها بیشتر سایت‌ها اطلاعات رو رمزگذاری نمی‌کردن، و هر کسی روی همون شبکه می‌تونست اطلاعات ورود به بانک، ایمیل یا شبکه‌ی اجتماعی‌تون رو ببینه.

و بعد می‌گه چی عوض شده: امروز بیشتر سایت‌ها رمزگذاری دارن، و «به خاطر رمزگذاری گسترده، وصل شدن از راه یه وای‌فای عمومی معمولا امنه». این همون HTTPS‌ه که درس رمزنگاری گفت. یعنی ترس قدیمی از وای‌فای عمومی، بیشتر مال دنیایی بود که دیگه وجود نداره؛ ولی «معمولا امن» با «همیشه امن» فرق داره، و بقیه‌ی این درس همون «معمولا»ست.

چی رو نمی‌پوشونه

HTTPS همه‌چیز رو نمی‌پوشونه، و دونستن مرزش مهمه. اول، همون‌طور که روی پاکت آدرس نوشته شده، کسی که شبکه رو اداره می‌کنه، هنوز می‌تونه بفهمه با کدوم سایت‌ها در تماسید، هر چند نه اینکه داخلشون چی کار می‌کنید. سند اپل درباره‌ی شبکه‌های باز هم می‌گه هر کسی روی یه شبکه‌ی بی‌رمز، می‌تونه «سایت‌هایی که می‌رید» رو زیر نظر بگیره. دوم، سایت‌هایی که هنوز HTTPS ندارن؛ مرورگرها کنار نشانی‌شون می‌نویسن «ناامن» (Not secure). روی وای‌فای عمومی، توی این سایت‌ها هیچ رمز یا اطلاعاتی وارد نکنید.

سوم، و مهم‌تر از همه، راهنمای FTC یه هشدار صاف داره: کلاهبردارها هم سایت جعلی می‌سازن و رمزگذاریش می‌کنن تا امن به نظر بیاد. اگه به سایت یه کلاهبردار برید، داده‌هاتون توی راه رمزگذاری‌شده‌ست، ولی از دست خود اون کلاهبردار که سایت رو اداره می‌کنه، در امان نیست. قفل یعنی «کسی وسط راه نمی‌خونه»، نه «سایت راستکیه»؛ درس صفحه‌ی ورود جعلی و خوندن نشانی همین رو گفتن.

برنامه‌ها

توی مرورگر، قفل رو می‌بینید؛ ولی توی برنامه‌ها، مثل برنامه‌ی بانک یا پیام‌رسان، نشونه‌ای نیست. راهنمای FTC می‌گه سخته بفهمید یه برنامه‌ی گوشی رمزگذاری می‌کنه یا نه، «ولی بیشترشون می‌کنن». پیام‌رسان‌هایی که رمزگذاری سرتاسری دارن، که درس رمزگذاری سرتاسری گفت، حتی از خود سرویس هم پیام‌ها رو پنهون می‌کنن، چه برسه به کسی که روی وای‌فای کافه‌ست. برنامه‌هایی رو هم که از فروشگاه رسمی گرفتید و به‌روزن، معمولا می‌شه روی وای‌فای عمومی استفاده کرد؛ برنامه‌ی قدیمی که سال‌هاست به‌روز نشده، کمتر.

شبکه‌ی باز یا رمزدار

وای‌فای عمومی دو جوره: «باز» (Open)، که بی رمز وصل می‌شید، و «رمزدار». فرقشون فقط اجازه‌ی ورود نیست. روی شبکه‌ی رمزدار با WPA2 یا WPA3، رفت‌وآمد بین گوشی و مودم رمزگذاری می‌شه. روی شبکه‌ی باز، طبق سند CISA، رفت‌وآمد «بی رمزگذاری» و «آشکار» فرستاده می‌شه، و خلافکار می‌تونه با ابزارهای «شنود» (Sniffing) چیزهایی رو که HTTPS نداره، مثل رمز یا شماره‌ی کارت، بگیره. CISA پیشنهاد می‌کنه به شبکه‌هایی وصل بشید که دست‌کم WPA2 دارن.

راهنمای FTC هم می‌گه تنها راه مطمئن شدن از اینکه یه شبکه رمزگذاری موثر داره، اینه که رمز WPA یا WPA2 بخواد، و اگه مطمئن نیستید، فرض کنید امن نیست. پس اگه کافه دو تا شبکه داره، یکی باز و یکی با رمز که روی میز نوشته، دومی بهتره؛ هر چند رمزی که همه‌ی مشتری‌ها می‌دونن، فقط جلوی آدم‌های بیرون کافه رو می‌گیره، نه بقیه‌ی مشتری‌ها رو.

شبکه‌ی جعلی هم‌نام

برگردیم به داستان اول. طبق سند CISA، توی «حمله‌ی دوقلوی شرور»، مهاجم اطلاعات یه شبکه‌ی عمومی رو جمع می‌کنه، سیستم خودش رو طوری تنظیم می‌کنه که شبیه همون باشه، و با یه سیگنال قوی‌تر از مودم واقعی پخش می‌کنه؛ گوشی‌ها هم، که دنبال سیگنال قوی‌ترن، بهش وصل می‌شن. از اون لحظه، چون کاربر از راه سیستم مهاجم به اینترنت وصله، به گفته‌ی CISA، مهاجم «به راحتی» می‌تونه هر داده‌ای که کاربر می‌فرسته رو بخونه؛ مخصوصا هر چیزی که HTTPS نداره.

راه حل CISA ساده‌ست: پیش از وصل شدن، اسم و رمز دقیق وای‌فای رو از خود اون جا تایید کنید. یعنی از گارسون یا تابلوی رسمی کافه بپرسید، نه اینکه از فهرست، اونی که اسمش شبیه‌تره رو بزنید. اگه دو تا شبکه با یه اسم دیدید، یا شبکه‌ای که انتظار داشتید رمز داشته باشه، باز بود، یه نشونه‌ست.

صفحه‌ی ورود شبکه

خیلی از وای‌فای‌های هتل و فرودگاه، بعد از وصل شدن، یه صفحه باز می‌کنن که می‌خواد قوانین رو قبول کنید، شماره‌ی اتاق یا شماره‌ی تلفن بدید، یا یه کد پیامکی بزنید. این صفحه بخشی از کار شبکه‌ست، و معمولا مشکلی نداره؛ ولی یه جای خوب برای کلاهبرداری هم هست، چون آدم انتظار داره اطلاعات بده. قانون ساده‌ش: این صفحه هیچ‌وقت نباید رمز ایمیل، رمز شبکه‌های اجتماعی یا اطلاعات کامل کارت بانکی رو بخواد، و هیچ‌وقت نباید ازتون بخواد برنامه یا «گواهی» نصب کنید. اگه خواست، وصل نشید.

اشتراک فایل

یه خطر که به HTTPS ربطی نداره: دستگاه‌های دیگه‌ی همون شبکه. سند CISA می‌گه یه شبکه‌ی عمومی ناامن، کنار اشتراک فایلی که روشن مونده، می‌تونه به یه آدم بدخواه اجازه بده به پوشه‌ها و فایل‌هایی برسه که ناخواسته به اشتراک گذاشتید. پیشنهادش: وقتی به شبکه‌ی عمومی وصلید، اشتراک فایل و پوشه رو ببندید، و فقط روی شبکه‌ی شناخته‌شده‌ی خونه و فقط وقتی لازمه، روشنش کنید. روی مک، توی System Settings دنبال Sharing بگردید؛ روی ویندوز، بخش بعد.

شبکه‌ی عمومی ویندوز

ویندوز این کار رو برای شما آسون کرده. طبق راهنمای مایکروسافت، هر شبکه‌ای که بهش وصل می‌شید، یا «خصوصی» (Private)‌ه یا «عمومی» (Public)، و فرق اصلیشون اینه که دستگاه‌های دیگه‌ی همون شبکه اجازه دارن دستگاه شما رو ببینن و شاید بهش وصل بشن یا نه. راهنما می‌گه به‌طور کلی، روی شبکه‌ی عمومی کنترل‌های امنیتی سخت‌گیرانه‌تری دارید، به خاطر اعتماد کمتر به آدم‌ها و دستگاه‌های اون شبکه.

پس وای‌فای کافه، فرودگاه و هتل رو همیشه «عمومی» بذارید، و «خصوصی» رو فقط برای خونه. توی Windows Security، بخش Firewall & network protection، می‌بینید به کدوم نوع شبکه وصلید، و فایروال برای هر سه نوع، یعنی شبکه‌ی محل کار، خصوصی و عمومی، باید روشن باشه. همونجا یه گزینه به اسم Blocks all incoming connections هم هست که طبق راهنما همه‌ی اتصال‌های ورودی رو می‌بنده؛ امنیت رو بیشتر می‌کنه ولی ممکنه بعضی برنامه‌ها کار نکنن. روی مک، فایروال توکار، که درس مک گفت، کار مشابه رو می‌کنه.

AirDrop و بلوتوث

توی جاهای شلوغ، فقط وای‌فای نیست؛ گوشی‌ها با بلوتوث و امکاناتی مثل AirDrop آیفون یا Quick Share اندروید، مستقیم به هم فایل می‌فرستن. اگه این‌ها روی «همه» باشن، هر غریبه‌ای توی همون کافه یا مترو می‌تونه براتون عکس یا فایل ناخواسته بفرسته؛ معمولا آزاردهنده، گاهی کلاهبرداری. توی تنظیمات همین امکانات، دریافت رو روی «فقط مخاطب‌ها» بذارید، یا وقتی لازم ندارید، خاموش. و هیچ‌وقت فایلی که یه ناشناس از این راه فرستاده رو باز نکنید.

وصل شدن خودکار

گوشی هر شبکه‌ای که یه بار بهش وصل شدید رو یادش می‌مونه، و هر وقت دوباره اسمش رو ببینه، خودکار وصل می‌شه. همین می‌تونه کار شبکه‌ی جعلی هم‌نام رو آسون کنه: کافی‌ه یکی شبکه‌ای به اسم وای‌فای فرودگاهی که ماه پیش رفتید بسازه. برای همین، بعد از استفاده از یه وای‌فای عمومی، از تنظیمات Wi-Fi گوشی، روی اسمش بزنید و Forget this network یا «فراموش کردن» رو بزنید.

اندروید، طبق راهنماش، یه گزینه به اسم Turn on Wi-Fi automatically هم داره که نزدیک شبکه‌های ذخیره‌شده، وای‌فای رو خودش روشن می‌کنه؛ اگه زیاد به وای‌فای عمومی وصل می‌شید، می‌تونید خاموشش کنید. و درس آیفون گفت توی حالت قفل کامل، آیفون اصلا به وای‌فای ناامن خودکار وصل نمی‌شه.

گواهی و پروفایل

یه هشدار خیلی مهم: اگه یه وای‌فای عمومی، یا صفحه‌ی ورودش، ازتون خواست برای وصل شدن یه «گواهی» (Certificate) یا «پروفایل پیکربندی» (Configuration profile) نصب کنید، نکنید. راهنمای اندروید می‌گه گواهی‌های دیجیتال می‌تونن گوشی رو معرفی کنن، و روی اندروید جای نصبشون توی تنظیمات پیشرفته‌ی شبکه‌ست؛ ولی گواهی‌ای که یه شبکه‌ی ناشناس می‌ده، می‌تونه کاری کنه که گوشی‌تون سیستم اون رو «مطمئن» حساب کنه، و اون وقت همون پاکت HTTPS هم دیگه پاکت بسته نیست. درس آیفون و مک هم گفتن پروفایل ناشناس می‌تونه کنترل بخشی از دستگاه رو بگیره.

شبکه‌های شرکت‌ها و دانشگاه‌ها گاهی واقعا گواهی لازم دارن، ولی اون رو واحد فنی خود همون‌جا، رو در رو یا با راهنمای رسمی، بهتون می‌ده؛ نه یه صفحه‌ی ورود توی کافه. و اگه مرورگر وسط کار هشدار داد که «اتصال شما خصوصی نیست» یا گواهی سایت مشکل داره، روی وای‌فای عمومی، ادامه ندید.

کسی که پشت سرتونه

همه‌ی خطرهای جاهای عمومی، بی‌سیم نیستن. سند CISA دو تا خطر دیگه رو کنار همین‌ها آورده. اول، «نگاه از پشت سر» (Shoulder surfing): توی جای شلوغ، کسی می‌تونه فقط با نگاه کردن به صفحه، رمز یا اطلاعات شخصی‌تون رو ببینه؛ همون ترفندی که درس آیفون با رمز صفحه گفت. دوم، دزدی دستگاه: CISA می‌گه بیشتر دستگاه‌ها امروز می‌تونن داده‌هاشون رو کامل رمزگذاری کنن تا برای دزدی که رمز رو نداره، بی‌مصرف باشن. توی کافه، لپ‌تاپ رو باز و بی‌صاحب نذارید، و وقتی بلند می‌شید، قفلش کنید.

شارژر عمومی

کنار وای‌فای، فرودگاه‌ها و کافه‌ها پریز USB عمومی هم دارن. کابل USB فقط برق نمی‌بره؛ داده هم می‌بره. برای همین یه ترفند به اسم «دزدی از راه شارژ» (Juice jacking) معروف شده: یه درگاه USB دست‌کاری‌شده، که موقع شارژ، به داده‌های گوشی دسترسی پیدا کنه یا بدافزار نصب کنه. راهنمای FCC، کمیسیون ارتباطات فدرال آمریکا، درباره‌ش منصفانه حرف زده: می‌گه این کار از نظر فنی نشون داده شده که ممکنه، ولی FCC از هیچ مورد تاییدشده‌ای که واقعا اتفاق افتاده باشه، خبر نداره.

با این حال، پیشنهادهاش ساده و کم‌هزینه‌ان: به جای درگاه USB، از پریز برق معمولی با شارژر و کابل خودتون استفاده کنید؛ یه پاوربانک همراه داشته باشید؛ و اگه موقع وصل کردن گوشی، پنجره‌ای مثل «به این کامپیوتر اعتماد می‌کنید؟» (Trust this computer) یا «اشتراک داده» اومد، همیشه «فقط شارژ» رو بزنید. یه «کابل فقط شارژ» (Charge-only cable)، که سیم داده نداره، هم همین کار رو می‌کنه.

هات‌اسپات گوشی خودتون

اگه با لپ‌تاپ بیرونید و کار حساسی دارید، یه راه ساده، به جای وای‌فای کافه، «هات‌اسپات» گوشی خودتونه؛ یعنی لپ‌تاپ رو با اینترنت همراه گوشی وصل کنید. این شبکه مال خودتونه و غریبه‌ای روش نیست. فقط مطمئن بشید هات‌اسپات رمز داره، و طبق همون توصیه‌ی اپل برای هر شبکه‌ای، رمزش قویه و امنیتش WPA2 یا WPA3‌ه، نه باز. و یادتون باشه هات‌اسپات حجم اینترنت گوشی رو مصرف می‌کنه.

KRACK و WPA2

«امنیت وای‌فای WPA2» یه جستجوی رایجه، و یه داستان جالب پشتشه. «دسترسی محافظت‌شده‌ی وای‌فای» (Wi-Fi Protected Access یا WPA) خانواده‌ی رمزگذاری‌های وای‌فایه، و WPA2 سال‌ها استاندارد اصلی بود. طبق سند NCSC، درست نه سال پیش، ۱۶ اکتبر ۲۰۱۷، یعنی ۲۴ مهر ۱۳۹۶، یه آسیب‌پذیری به اسم KRACK توی خود WPA2 منتشر شد که می‌تونست به یه مهاجم اجازه بده رفت‌وآمد رمزگذاری‌شده‌ی وای‌فای رو بخونه.

ولی NCSC همون موقع چند نکته‌ی آرام‌کننده گفت که امروز هم به درد می‌خوره: مهاجم باید فیزیکی نزدیک باشه؛ WPA2 با همه‌ی این‌ها از WEP و WPA قدیمی امن‌تره؛ شبکه‌ی خصوصی با WPA2 از وای‌فای عمومی کافه و هتل امن‌تره؛ و سرویس‌هایی که HTTPS دارن، مثل ایمیل و بانک، در امان موندن. راه حل اصلیش هم، طبق همون سند، نصب وصله‌ها بود؛ همون حرف درس به‌روزرسانی. امروز هم جانشینش، WPA3، از راه رسیده.

هشدار امنیت وای‌فای

«هشدار امنیت وای‌فای چیه» از جستجوهای رایجه، چون آیفون و مک گاهی زیر اسم یه شبکه می‌نویسن «امنیت ضعیف» (Weak Security) یا یه هشدار حریم خصوصی نشون می‌دن. طبق سند اپل، این یعنی اون شبکه ممکنه اطلاعاتی از دستگاه شما رو فاش کنه؛ مثلا شبکه از روش امنیتی ضعیف استفاده می‌کنه، یا نشانی خصوصی وای‌فای براش خاموشه. اپل روش‌های ضعیف رو اسم برده: WEP، WPA Personal، حالت‌های مخلوط WPA و WPA2، و هر چیزی که TKIP توی اسمشه؛ و شبکه‌ی بی رمز (Open، None، Unsecured) رو «به شدت توصیه نمی‌کنه».

اگه این هشدار رو روی وای‌فای یه کافه دیدید، یعنی دقیقا باید به حرف‌های این درس عمل کنید؛ اگه روی وای‌فای خونه‌ی خودتون دیدید، بخش بعد برای شماست. سند اپل می‌گه اگه مدیر شبکه نیستید، این تنظیم‌ها رو به اطلاع مدیر شبکه برسونید.

وای‌فای خونه

«امنیت وای‌فای خونگی» و «افزایش امنیت وای‌فای» هم زیاد جستجو می‌شن، و چون مودم خونه همیشه کنار شماست، مهم‌تر از وای‌فای کافه‌ست. طبق سند اپل برای مودم‌ها و روترها، امنیت رو روی WPA3 Personal بذارید، یا اگه دستگاه‌های قدیمی دارید، روی WPA2/WPA3 Transitional؛ و اگه هیچ‌کدوم نبود، WPA2 Personal با رمزگذاری AES. سند اپل می‌گه WPA3 جدیدترین و امن‌ترین روشیه که الان برای وای‌فای هست، و CISA هم WPA3 رو «قوی‌ترین رمزگذاری» فعلی می‌دونه. و هر کدوم رو گذاشتید، یه رمز قوی بذارید.

دو کار دیگه، از سند CISA: اول، «رمز مدیریت» پیش‌فرض مودم، یعنی رمزی که باهاش وارد صفحه‌ی تنظیمات مودم می‌شید، رو عوض کنید؛ CISA می‌گه این رمزهای پیش‌فرض راحت توی اینترنت پیدا می‌شن. دوم، اگه شبکه‌ی خونه بی رمز یا ضعیف باشه، CISA می‌گه برد معمول یه مودم داخل خونه ۱۵۰ تا ۳۰۰ فوته، یعنی حدود ۴۵ تا ۹۰ متر، و بیرون خونه تا هزار فوت، حدود ۳۰۰ متر؛ پس همسایه‌ها و آدم‌های توی خیابون هم توی بردش هستن. سند اپل همچنین می‌گه پیش از عوض کردن تنظیم‌ها، از تنظیم‌های فعلی پشتیبان بگیرید و فریمور مودم رو به‌روز کنید، و بعدش ممکنه لازم باشه روی هر دستگاه شبکه رو «فراموش» کنید و دوباره وصل بشید.

شبکه‌ی مهمون

اگه زیاد مهمون دارید یا مغازه دارید، رمز اصلی وای‌فای رو به همه ندید. CISA امکان «حساب مهمون» (Guest) رو پیشنهاد می‌کنه که خیلی از مودم‌ها دارن: یه شبکه‌ی جدا، با رمز جدا، برای مهمون‌ها، تا رمز و دستگاه‌های شبکه‌ی اصلی‌تون، مثل پرینتر و کامپیوترها، خصوصی بمونن. سند اپل هم یادآوری می‌کنه که حتی شبکه‌ی مهمون یا یه خاموش کردن موقت امنیت، اگه بی رمز باشه، خطر داره. اینجوری، اگه مهمون شما خودش یه گوشی آلوده داشته باشه، به دستگاه‌های شما نمی‌رسه.

پونزده دقیقه

1. توی کافه، اسم و رمز وای‌فای رو از خود کافه بپرسید.
2. ویندوز: شبکه رو Public بذارید؛ مک و ویندوز: اشتراک فایل بسته.
3. AirDrop یا Quick Share: فقط مخاطب‌ها.
4. Private Wi-Fi Address یا Randomized MAC: روشن.
5. بعد از رفتن، شبکه رو Forget کنید.
6. هیچ گواهی یا پروفایلی برای وای‌فای نصب نکنید.
7. خونه: مودم روی WPA3 یا WPA2 (AES)، رمز قوی، رمز مدیریت پیش‌فرض عوض‌شده، شبکه‌ی مهمون.

اشتباه‌های رایج

• «هیچ‌وقت به وای‌فای عمومی وصل نمی‌شم.» امروز، با HTTPS، معمولا امنه؛ فقط حواستون به بقیه‌ی این درس باشه.
• «قفل داره، پس سایت امنه.» قفل یعنی کسی وسط راه نمی‌خونه، نه اینکه سایت راستکیه.
• «اونی که سیگنالش قوی‌تره رو زدم.» شبکه‌ی جعلی هم‌نام معمولا سیگنال قوی‌تری داره.
• «برای وصل شدن یه گواهی خواست، نصب کردم.» با اون گواهی، پاکت HTTPS هم می‌تونه باز بشه.
• «وای‌فای خونه‌م رمز نداره، خودم فقط استفاده می‌کنم.» تا ۳۰۰ متر بیرون خونه هم می‌رسه.
• «رمز مودم همونیه که روش نوشته.» رمز مدیریت پیش‌فرض، توی اینترنت پیدا می‌شه.

آخرین بررسی سندهای رسمی FTC، FCC، CISA، NCSC، اپل، مایکروسافت و اندروید: ۲۴ مهر ۱۴۰۵.