Sicurezza Wi-Fi dell'hotel su un Mac: cosa conta davvero

Il Wi-Fi dell'hotel è ragionevolmente sicuro per un uso normale su un Mac aggiornato, e molto più sicuro di quanto la sua reputazione suggerisca. L'avvertimento classico, che qualcuno a due stanze di distanza legge le tue password dall'aria, è quasi obsoleto: praticamente tutto il traffico importante è crittografato end-to-end prima di lasciare il tuo dispositivo, e macOS più un browser aggiornato gestiscono questa cosa senza che tu debba fare nulla.

Questa è la versione semplice. La sfumatura è che la crittografia protegge contenuto, non contesto. Nessuno sulla rete dell'hotel legge la tua email, ma la rete può comunque vedere che il tuo Mac ha contattato un determinato provider di posta, un determinato cloud drive, e una determinata VPN aziendale, alle 6:40 del mattino, ogni mattina, per cinque giorni. Nel corso di un soggiorno lungo, questo si accumula in un record comportamentale, e nessuno di questi richiede di interrompere una singola connessione.

Due cose distinguono un hotel da un bar. La prima è identità: la pagina di login di solito chiede il cognome e il numero della stanza, così l'operatore può collegare ogni dispositivo e connessione a un ospite nominato piuttosto che a una persona anonima con un caffè. La seconda è durata: una visita al bar dura quaranta minuti, un soggiorno in hotel sono giorni di riconnessione automatica e sincronizzazione in background mentre non sei vicino al dispositivo.

Quindi il modello di minaccia onesto non è l'intercettazione di segreti. È tre altre cose: un Mac esposto a una rete piatta piena di sconosciuti per giorni, una timeline dettagliata del traffico collegata al tuo nome, e la possibilità di unirsi a una rete che sembra solo quella dell'hotel. Tutte e tre hanno risposte semplici, e nessuna di esse richiede panico.

Tutti nell'edificio sono sulla stessa rete flat. La Wi‑Fi per gli ospiti dell'hotel viene spesso distribuita senza isolamento dei client, il che mette l'ospite in 412 e l'ospite in 118 nello stesso dominio broadcast in cui ti trovi. Il tuo Mac si pubblicizza tramite Bonjour con il nome che gli hai dato, molto spesso il tuo vero nome e il modello della macchina, e qualsiasi servizio di condivisione rimasto attivo da un progetto passato è raggiungibile da tutti gli altri. Alcune catene isolano correttamente i client, ma non puoi sapere quali, quindi presumi che non lo facciano.

Il captive portal lega il traffico a un'identità dell'ospite. Numero della stanza e cognome, a volte un numero di fidelizzazione o un indirizzo email per il livello più rapido. Non è qualcosa di sinistro; è il modo in cui l'hotel applica un account per stanza, e in diverse giurisdizioni l'operatore è obbligato comunque a conservare i log di connessione. Significa solo che l'espressione rete pubblica anonima non si applica qui. Qualunque cosa registri la rete, la registra a tuo nome.

L'attrezzatura è spesso vecchia e raramente toccata. La Wi‑Fi dell'hotel viene di solito installata una volta da un appaltatore, gestita da remoto e lasciata così per anni perché funziona. I punti di accesso e gli appliance gateway rimangono senza patch, il firmware è fermo a diverse versioni indietro e le configurazioni di default sopravvivono. Non è un attacco di per sé, ma significa che le protezioni della rete, inclusa l'isolamento promesso dal dépliant, potrebbero essere mal configurate o semplicemente non funzionare.

I portali interferiscono con il DNS di proposito. Per far apparire la pagina di login, il gateway deve intercettare le tue prime richieste e reindirizzarle, il che significa intercettare il DNS. Alcuni portali continuano a farlo anche dopo che ti sei autenticato, e alcuni risolvono i nomi con le proprie risposte per tutto il soggiorno. È anche per questo che il DNS crittografato crea problemi negli hotel: se il tuo Mac è impostato su un profilo DNS privato o su un resolver personalizzato, il portale spesso non può reindirizzarti e la pagina di login non si carica mai, che è il problema più comune con la Wi‑Fi degli hotel.

E poi resti. L'auto-join fa sì che il Mac si riconnetta ogni volta che apri il coperchio senza chiedere. Moltiplica l'attività di background normale di macOS e di una dozzina di app installate per quattro o cinque giorni di fila, e l'esposizione non è una singola sessione su una rete non affidabile, ma una residenza continua.

Inizia con le buone notizie, perché sono sostanziali. HTTPS cripta il contenuto di una connessione: contenuti delle pagine, campi dei moduli, password, corpi dei messaggi, payload delle API. I browser ora di default usano HTTPS e rifiutano di retrocedere silenziosamente, TLS 1.3 è la norma, e la maggior parte delle app Mac cripta il proprio traffico. Qualcuno che si trova sulla rete dell'hotel con una cattura di pacchetti vede solo testo cifrato. Il vecchio trucco di raccogliere login da una rete aperta ha smesso di funzionare anni fa.

Quello che la crittografia non nasconde è il fatto e la forma di ogni connessione. L'indirizzo IP di destinazione è sempre visibile, perché i pacchetti devono essere instradati. Le ricerche DNS sono visibili a meno che tu non stia usando DNS criptato, che spesso i portali bloccano. Il nome del server nel handshake TLS è visibile sulla maggior parte delle connessioni oggi, dato che Encrypted Client Hello è ancora lontano dall'essere universale. E il tempo, la dimensione e la frequenza di ogni scambio sono visibili a chiunque sul percorso, non importa quanto sia forte il cifrario.

Raccolti durante un soggiorno di più notti, quei metadati sono più rivelatori di quanto le persone si aspettino. Mostrano quali servizi usi, quando ti sei svegliato, quando sei uscito e rientrato nell'edificio, quanto sono durate le chiamate video e a quale rete aziendale ti sei connesso. Un client di posta che esegue il polling ogni cinque minuti è un segnale di presenza preciso. Niente di tutto ciò richiede di leggere un singolo messaggio. I metadati sono la vera esposizione su una rete dell'hotel, non il contenuto.

C'è anche un residuo di traffico che non è protetto affatto. Alcune app più vecchie o abbandonate controllano ancora gli aggiornamenti tramite HTTP in chiaro, e la scoperta di rete locale è non crittografata per natura, quindi mDNS e Bonjour trasmettono il nome del dispositivo e i servizi a tutta la rete guest. La scoperta delle stampanti, la condivisione multimediale e qualsiasi cosa che si aspetti una rete domestica affidabile si comportano esattamente allo stesso modo in un hotel, perché il tuo Mac non ha idea che la rete abbia cambiato carattere.

L'unica situazione in cui HTTPS fallisce davvero è quando una persona lo sovrascrive. Se appare un avviso di certificato, non cliccare su di esso, e se una rete ti chiede di installare un profilo o un certificato root prima di concederti l'accesso, rifiuta e usa la rete cellulare invece. Un hotel ha bisogno del numero della stanza per permetterti di navigare online. Non ha bisogno della capacità di emettere certificati di cui il tuo Mac si fiderà.

Mantieni attivo il firewall del Mac e smetti di condividere qualsiasi cosa. Questo è il passo di maggior valore perché colpisce direttamente la rete flat. Attiva il firewall in Impostazioni di Sistema, Rete, Firewall, e abilita la modalità stealth nelle sue opzioni così il Mac smette di rispondere a sondaggi non richiesti. Poi apri Impostazioni di Sistema, Generali, Condivisione e verifica che Condivisione File, Condivisione Schermo, Condivisione Stampanti, Accesso remoto e Gestione remota siano tutti disattivati, e imposta AirDrop su Contatti Solo. Nota cosa il firewall di macOS non fa: filtra solo le connessioni in ingresso, e nulla in esso limita ciò che le tue app inviano in uscita.

Interrompi la sincronizzazione in background per la durata del soggiorno. Attiva Low Data Mode per la rete dell’hotel specificamente, in Impostazioni di Sistema, Wi-Fi, Dettagli accanto alla rete a cui ti sei connesso. Pausa in modo affidabile le operazioni di background di Apple: download di aggiornamenti software, download dall’App Store, sincronizzazione di Foto iCloud e vari compiti differiti. Per le app di terze parti è solo un avviso che molti sviluppatori non hanno mai implementato, quindi chiudi o metti in pausa i tuoi client di sincronizzazione cloud e imposta Time Machine per fare backup manualmente. Meno traffico in background significa meno metadati e meno sorprese se i meter dell’hotel limitano o throttano la connessione.

Usa una VPN per la crittografia che altrimenti non ottieni. Una VPN avvolge tutto, incluso DNS e i metadati della connessione discussi sopra, in un singolo tunnel verso un singolo indirizzo, così la timeline dettagliata si riduce a una sessione crittografata. Due avvertimenti onesti: sposti la fiducia dall’hotel al provider VPN piuttosto che eliminarla, quindi scegli uno di cui hai effettivamente letto la politica di logging, e una VPN non impedisce a nessuna app di connettersi. Cambia il percorso, non i partecipanti. Connetti dopo aver superato il portale captive, e attiva uno switch di kill switch se il client ne offre uno.

Decidi quali app possono raggiungere la rete. Questa è la parte che una VPN non può fare. La crittografia riguarda il trasporto; il controllo delle app riguarda l’ambito. Su una rete a cui sarai connesso per giorni, la maggior parte di ciò che hai installato sul Mac non ha motivo di parlare: un browser, un client email e il client VPN di solito coprono tutto ciò che intendi fare. Tutto il resto può rimanere silenzioso fino al check-out, riducendo sia la traccia dei metadati sia il numero di processi esposti a qualunque altra cosa ci sia su quella rete.

Unisciti alla rete giusta e disconnetti correttamente. Chiedi alla reception il nome esatto della rete invece di indovinare dalla lista, perché un punto di accesso rogue che trasmette un nome di hotel plausibile costa quasi niente da mettere in piedi ed è uno dei pochi attacchi realmente comuni rimasti. Considera una rete guest con WPA2 o WPA3 come passphrase invece di una rete completamente aperta. Al check-out, apri Impostazioni di Sistema, Wi-Fi, Dettagli e scegli Dimentica questa rete, altrimenti il Mac si riconnetterà silenziosamente a qualsiasi rete con quel nome ovunque nel mondo.

Un coperchio chiuso non è uguale a essere offline. macOS si sveglia periodicamente per l'accesso alla rete, esegue manutenzione programmata, verifica aggiornamenti e permette alle app di aggiornarsi in background. In quattro notti, ci sono centinaia di connessioni che non hai mai avviato, fatte mentre dormivi o eri fuori, su una rete che chiameresti non affidabile se qualcuno te lo chiedesse. Nulla di tutto ciò è malevolo. È macOS che assume che ogni rete Wi-Fi sia la tua, il che è il comportamento predefinito giusto a casa e quello sbagliato in stanza 412.

Per questo motivo, il controllo per app è la soluzione che questo problema richiede. Una VPN cripta il tunnel, ma ogni app continua a comunicare, e Low Data Mode chiede cortesemente mentre molte app rifiutano. Ciò che riduce realmente l'esposizione è decidere, prima di connettersi, quali app sono autorizzate e applicare automaticamente questa decisione, anziché ricordarla ogni sera.

Questo è il caso per cui NetMute è stato creato. La sua protezione Hotspot rileva quando ti connetti a una rete sconosciuta o non affidabile e applica immediatamente un profilo rigoroso, senza aspettare che tu ci pensi, e gestisce le pagine di login captive portal in modo che la pagina di login dell'hotel si carichi ancora invece di essere bloccata insieme a tutto il resto. I profili di rete sono associati al nome Wi-Fi, quindi il profilo dell'hotel si ripresenta automaticamente la prossima volta che ti connetti a quella rete, e il profilo normale di casa torna non appena arrivi a casa.

Giorno dopo giorno, i controlli rimangono semplici. Qualsiasi app può essere bloccata con un clic, le regole temporanee scadono da sole, quindi permettere a un aggiornamento di funzionare per dieci minuti non lascia una falla permanente, e la modalità whitelist inverte tutto: niente raggiunge la rete tranne ciò che hai nominato. Se le metriche o le limitazioni di banda dell'hotel riducono la connessione, i limiti di dati per app limitano i responsabili prima che diventino un problema.

La parte che le persone trovano più utile dopo un viaggio sono le prove. Il monitor di traffico in tempo reale e il logging a livello di dominio rispondono alla domanda su cui ruota tutto questo articolo: cosa ha parlato esattamente mentre dormivi. Vale la pena controllarlo una volta, perché la lista è di solito più lunga di quanto ci si aspetti, e rende facile scrivere il profilo per il prossimo soggiorno.