Публичный Wi-Fi в кафе, аэропорту и гостинице: что видит владелец сети и когда нужен VPN

Коротко: пароли и переписку в кафе почти никто не прочитает: их защищает HTTPS, а мессенджеры шифруют сообщения сами. Но владелец точки видит, на какие сайты вы ходите, а в России ещё и знает ваш номер телефона. Разбираем, что реально грозит в открытой сети, что из этого закрывает VPN и как подключаться, чтобы не попасться на поддельную сеть.

Что видит владелец сети

• Куда вы подключаетесь. Адреса серверов, время и объём данных видны всегда.
• Имена сайтов. Их выдают запросы DNS, если телефон пользуется DNS сети, и имя сайта в начале почти каждого HTTPS-соединения (поле SNI). Технология Encrypted Client Hello прячет это имя, но пока встречается редко.
• Содержимое страниц на HTTPS — нет. Пароли, письма, формы и переписку в мессенджерах владелец сети не видит. Страницы без HTTPS он видит и может подменить, но таких почти не осталось.
• Ваше устройство. Аппаратный адрес Wi-Fi (MAC), если система его не скрывает, а компьютер с Windows обычно сообщает сети и своё имя.

Почти то же самое видит дома ваш провайдер; подробно — в статье что видит провайдер. Разница в том, что у кафе или гостиницы нет договора с вами, а сеть с тем же именем может поднять кто угодно.

Почему при входе спрашивают номер телефона

С 2014 года постановления правительства № 758 и № 801 запрещают в России анонимный доступ к публичному Wi-Fi. Пользователя нужно опознать: по коду из СМС на номер телефона, через учётную запись Госуслуг или по документу. Поэтому страница входа просит номер, и это законное требование, а не уловка.

Следствие простое: оператор точки связывает ваш номер со всем, что видно в сети, — адресами, временем и именами сайтов. С включённым VPN за этим номером остаётся одно подключение к VPN-серверу и его объём. Сам факт подключения к VPN при этом виден.

Какие угрозы реальны

• Сеть-двойник. Точка с тем же именем, что у кафе, или с похожим, например с припиской _Free. Телефон сам подключается к знакомому имени, если сеть сохранена и открыта.
• Страница входа просит лишнего. Номер телефона и код из СМС — нормально. Пароль от почты или соцсети, данные карты или установка приложения «для доступа» — признак поддельной сети.
• Предупреждение о сертификате. Если браузер пишет, что соединение не защищено, на обычном сайте после входа в сеть, — не продолжайте. Это значит, что кто-то стоит между вами и сайтом.
• Соседи по сети. Общие папки, обнаружение в сети Windows, AirDrop для всех: в гостинице вы в одной сети с другими гостями.
• Старые приложения без шифрования. Редко, но встречаются: всё, что они передают, видно и может быть подменено.

Что закрывает VPN, а что нет

Важно и обратное: с VPN имена сайтов видит уже не кафе, а VPN-сервер. Поэтому выбирайте сервис, которому доверяете; что храним мы, написано в политике конфиденциальности. Бесплатные сервисы зарабатывают как раз на таких данных — подробнее в статье о рисках бесплатных VPN.

Как подключаться по шагам

1. 1Уточните имя сети у персонала или на табличке. Не выбирайте сеть по силе сигнала: двойник часто ближе и громче настоящей.
2. 2Пройдите страницу входа. До входа сеть пропускает только её, поэтому VPN подключиться не сможет. Если страница не открывается, а в VPN включён аварийный выключатель (блокировка интернета без VPN), выключите VPN на время входа. Если страница не появилась сама, откройте в браузере любой адрес, начинающийся с http://.
3. 3Вводите только то, что нужно для входа: номер телефона, код из СМС, номер комнаты. Вход через Госуслуги — только если адрес в браузере действительно gosuslugi.ru.
4. 4Сразу после входа включите VPN и откройте нашу проверку утечек: она должна показать адрес VPN-сервера, а не адрес точки.
5. 5Закройте общий доступ. Windows при подключении спросит тип сети — выберите общедоступную. На Mac выключите общий доступ к файлам, AirDrop на iPhone и Mac переключите на «Только для контактов».
6. 6Когда закончите, нажмите «Забыть эту сеть». Сохранённое имя открытой сети — повод для телефона подключиться к двойнику в другом месте.

Настройки, которые работают всегда

• Частный адрес Wi-Fi на iPhone и iPad. Настройки → Wi-Fi → ⓘ рядом с сетью. Он включён по умолчанию с iOS 14, а с iOS 18 в открытых сетях и сетях со страницей входа адрес ещё и периодически меняется. Отключайте его только для сети, где без этого не работает вход.
• Случайный MAC-адрес на Android. С Android 10 включён по умолчанию для каждой сети; проверить можно в свойствах сети.
• Автоподключение к открытым сетям. Выключите его и удаляйте сети, которыми больше не пользуетесь.
• Обновления системы и браузера. Исправления проверки сертификатов приходят только с ними.
• Свой мобильный интернет. Для банка и важных дел раздача с телефона надёжнее чужого Wi-Fi.

Наше приложение ProxysVPN есть для iPhone и iPad, Android и Mac. Если приложение банка просит выключить VPN, разбор в статье приложение требует отключить VPN. Если VPN рвётся, когда телефон переходит с Wi-Fi на мобильную сеть, — что с этим делать. Отдельный разбор для тех, кто держит криптокошелёк, — сид-фраза и публичный Wi-Fi.

Частые вопросы