Hotel Wi-Fi-beveiliging op een Mac: wat echt belangrijk is

Hotel Wi-Fi is redelijk veilig voor gewoon gebruik op een up-to-date Mac, en aanzienlijk veiliger dan de reputatie doet vermoeden. De klassieke waarschuwing, dat iemand twee kamers verderop je wachtwoorden uit de lucht leest, is bijna achterhaald: vrijwel al het verkeer dat ertoe doet, is end-to-end versleuteld voordat het je machine verlaat, en macOS plus een actuele browser regelen dat zonder dat jij iets hoeft te doen.

Dat is de eenvoudige versie. De nuance is dat encryptie inhoud, niet context beschermt. Niemand op het hotelnetwerk leest je e-mail, maar het netwerk kan nog steeds zien dat je Mac contact heeft gezocht met een bepaalde mailprovider, een bepaalde cloud drive, en een bepaald VPN-bedrijf, om 6:40 ’s ochtends, elke ochtend, gedurende vijf dagen. Over een lange periode bouwt dat een gedragsrecord op, en geen van dat alles vereist het verbreken van een enkele verbinding.

Twee dingen scheiden een hotel van een café. De eerste is identiteit: de inlogpagina vraagt meestal om je achternaam en kamernummer, zodat de operator elk apparaat en elke verbinding kan koppelen aan een bekende gast in plaats van een anoniem persoon met een koffie. De tweede is duur: een cafébezoek duurt veertig minuten, een hotelverblijf bestaat uit dagen van automatische reconnectie en achtergrond synchronisatie terwijl je nergens in de buurt van de machine bent.

Dus het eerlijke dreigingsmodel is niet het onderscheppen van geheimen. Het zijn drie andere dingen: een Mac die blootgesteld is aan een vlak netwerk vol vreemden voor dagen, een gedetailleerde verkeerslijn gekoppeld aan jouw naam, en de mogelijkheid om verbinding te maken met een netwerk dat er alleen uitziet als dat van het hotel. Alle drie hebben eenvoudige antwoorden, en geen van hen vereist paniek.

Iedereen in het gebouw zit op hetzelfde vlakke netwerk. Hotelgast Wi‑Fi wordt vaak uitgerold zonder client‑isolatie, waardoor de gast in 412 en de gast in 118 zich op hetzelfde broadcastdomein bevinden als jij. Je Mac adverteert zichzelf via Bonjour met de naam die je hebt opgegeven, vaak je echte voornaam en het model van de machine, en elke sharing‑service die nog actief is van een vorig project is bereikbaar voor iedereen. Sommige ketens isoleren clients correct, maar je kunt niet van buitenaf zien welke dat doen, dus ga ervan uit dat ze dat niet doen.

Het captive portal koppelt verkeer aan een gastidentiteit. Kamernummer en achternaam, soms een loyaliteitsnummer of een e‑mailadres voor de snellere tier. Dat is niet sinister; zo handhaaft het hotel één account per kamer, en in verschillende jurisdicties is de operator verplicht om connectielogs bij te houden. Het betekent gewoon dat de uitdrukking anoniem openbaar netwerk hier niet van toepassing is. Wat het netwerk ook registreert, het registreert tegen jou op naam.

De apparatuur is vaak oud en wordt zelden aangeraakt. Hotel‑Wi‑Fi wordt meestal één keer geïnstalleerd door een aannemer, op afstand beheerd en jarenlang niet aangeraakt omdat het werkt. Access points en gateway‑apparaten worden niet gepatcht, firmware blijft enkele versies achter, en standaardconfiguraties blijven bestaan. Dat is op zich geen aanval, maar het betekent dat de eigen beveiligingen van het netwerk, inclusief de isolatie die de brochure beloofde, verkeerd geconfigureerd kunnen zijn of gewoon kapot zijn.

Portals verstoren DNS opzettelijk. Om de inlogpagina überhaupt te laten verschijnen, moet de gateway je eerste verzoeken onderscheppen en doorverwijzen, wat betekent dat DNS wordt onderschept. Sommige portals blijven dat doen nadat je hebt ingelogd, en sommige resolveren namen naar hun eigen antwoorden voor de hele duur van je verblijf. Dit is ook de reden waarom versleutelde DNS problemen veroorzaakt in hotels: als je Mac is ingesteld op een privé‑DNS‑profiel of een aangepaste resolver, kan het portal je vaak niet doorverwijzen en laadt de inlogpagina nooit, wat de meest voorkomende klacht over hotel‑Wi‑Fi is.

En dan blijf je. Auto‑join betekent dat je Mac telkens opnieuw verbinding maakt zonder te vragen. Vermenigvuldig de normale achtergrondactiviteit van macOS en een tiental geïnstalleerde apps met vier of vijf dagen, en de blootstelling is niet slechts één sessie op een onbetrouwbaar netwerk, maar een voortdurende aanwezigheid op één netwerk.

Begin met het goede nieuws, want dat is aanzienlijk. HTTPS versleutelt de inhoud van een verbinding: pagina-inhoud, formuliervelden, wachtwoorden, berichtlichamen, API-payloads. Browsers gebruiken standaard HTTPS en weigeren stilletjes te downgraden, TLS 1.3 is de norm, en de grote meerderheid van Mac-apps versleutelt hun eigen verkeer. Iemand die op het hotelnetwerk zit met een packet capture ziet ciphertext. Het oude trucje om inloggegevens te verzamelen van een open netwerk werkt al jaren niet meer.

Wat encryptie niet verbergt, is het feit en de vorm van elke verbinding. Het bestemmings-IP-adres is altijd zichtbaar, omdat de pakketten gerouteerd moeten worden. DNS-lookup is zichtbaar tenzij je versleutelde DNS gebruikt, wat portals vaak blokkeren. De servernaam in de TLS-handshake is zichtbaar op de meeste verbindingen vandaag, omdat Encrypted Client Hello nog lang niet universeel is. En de timing, grootte en frequentie van elke uitwisseling zijn zichtbaar voor iedereen op het pad, ongeacht hoe sterk de cipher.

Samengevoegd over een meerdaags verblijf, is die metadata meer onthullend dan mensen verwachten. Het toont welke services je gebruikt, wanneer je wakker werd, wanneer je het gebouw verliet en terugkwam, hoe lang je videogesprekken duurden, en bij welk bedrijf je hebt ingelogd op het netwerk. Een mailclient die elke vijf minuten pollt, is een precies aanwezigheidsignaal. Niets daarvan vereist het lezen van een enkel bericht. Metadata is de echte blootstelling op een hotelnetwerk, niet de inhoud.

Er is ook een restje verkeer dat helemaal niet beschermd is. Een paar oudere of verlaten apps controleren nog steeds op updates via plain HTTP, en lokale netwerkdetectie is onversleuteld van nature, dus mDNS en Bonjour-broadcasts kondigen je apparaatnaam en services aan op het hele gastnetwerk. Printerdetectie, mediadeel en alles wat op een vertrouwd thuis-LAN lijkt, gedraagt zich precies hetzelfde in een hotel, omdat je Mac geen idee heeft dat het netwerk van karakter is veranderd.

De enige situatie waarin HTTPS echt faalt, is wanneer iemand het omzeilt. Als er een certificaatwaarschuwing verschijnt, klik er dan niet doorheen, en als een netwerk je vraagt een profiel of een root-certificaat te installeren voordat je toegang krijgt, weiger dan en gebruik je mobiele data. Een hotel heeft je kamernummer nodig om je online te laten gaan. Het hoeft niet de mogelijkheid te hebben om certificaten uit te geven die je Mac vertrouwt.

Houd de firewall van de Mac ingeschakeld en deel niets. Dit is de meest waardevolle stap omdat het direct de vlakke netwerken aanpakt. Zet de firewall aan onder Systeemvoorkeuren, Netwerk, Firewall, en schakel de stealth-modus in de opties zodat de Mac stopt met reageren op ongevraagde probes. Open vervolgens Systeemvoorkeuren, Algemeen, Delen en bevestig dat Bestandsdeling, Schermdeling, Printerdeling, Extern inloggen en Extern beheer allemaal uitstaan, en zet AirDrop op Alleen contacten. Noteer wat de macOS firewall niet doet: hij filtert alleen inkomende verbindingen, en niets in hem beperkt wat je eigen apps uitsturen.

Verkort achtergrondsynchronisatie voor de duur van je verblijf. Zet Low Data Mode specifiek aan voor het hotelnetwerk, onder Systeemvoorkeuren, Wi-Fi, Details naast het netwerk waarmee je verbonden bent. Het pauzeert betrouwbaar het achtergrondwerk van Apple: software-update downloads, App Store downloads, iCloud Photos synchronisatie en diverse uitgestelde taken. Voor apps van derden is het slechts een adviesvlag die veel ontwikkelaars nooit hebben geïmplementeerd, dus sluit of pauzeer ook je cloud sync-clients en zet Time Machine op handmatig back-up maken. Minder achtergrondverkeer betekent minder metadata en minder verrassingen als de meter of throttling van het hotel de verbinding beperkt.

Gebruik een VPN voor de encryptie die je anders niet krijgt. Een VPN omhult alles, inclusief DNS en de verbindingmetadata die hierboven besproken zijn, in een enkele tunnel naar een enkel adres, zodat de gedetailleerde tijdlijn vervalt in één versleutelde sessie. Twee eerlijke kanttekeningen: je verplaatst vertrouwen van het hotel naar de VPN-aanbieder in plaats van het te elimineren, dus kies er een waarvan je het logbeleid daadwerkelijk hebt gelezen, en een VPN stopt geen app van verbinden. Het verandert het pad, niet de deelnemers. Verbind het nadat je het captive portal hebt doorlopen, en zet een kill switch aan als de client er een biedt.

Bepaal welke apps toegang mogen hebben tot het netwerk. Dit is het onderdeel dat een VPN niet kan doen. Encryptie gaat over de transport; appcontrole gaat over scope. Op een netwerk waar je dagenlang op bent, heeft het meeste dat op je Mac geïnstalleerd is geen reden om te praten: een browser, een e-mailclient en de VPN-client dekken meestal alles wat je van plan bent te doen. Alles wat anders is, kan stil blijven totdat je uitcheckt, wat zowel de metadata-trail als het aantal processen dat blootgesteld wordt aan andere apparaten op dat netwerk, vermindert.

Sluit je aan bij het juiste netwerk en verlaat het correct. Vraag de receptie naar de exacte netwerknaam in plaats van te gokken uit de lijst, omdat een rogue access point dat een plausibele hotelnaam uitzendt, bijna niets kost om op te zetten en een van de weinige echt gangbare aanvallen is die nog overblijven. Behandel een hotel-merk netwerk zonder portal, of een portal die om een kaartnummer vraagt in plaats van een kamernummer en achternaam, als reden om te stoppen. Geef de voorkeur aan een gastnetwerk met een WPA2- of WPA3-wachtwoord boven een volledig open netwerk. Bij het uitchecken, open Systeemvoorkeuren, Wi-Fi, Details en kies 'Vergeet dit netwerk', anders zal je Mac zich stilletjes opnieuw verbinden met elk netwerk met die naam, overal ter wereld.

Een gesloten deksel is niet hetzelfde als offline zijn. macOS wekt periodiek op voor netwerktoegang, voert geplande onderhoudstaken uit, controleert op updates en laat apps op de achtergrond verversen. Over vier nachten zijn dat honderden verbindingen die je nooit hebt gestart, gemaakt terwijl je sliep of weg was, op een netwerk dat je onbetrouwbaar zou noemen als iemand het vroeg. Niets daaraan is kwaadaardig. macOS gaat ervan uit dat elk Wi-Fi-netwerk jouw eigen is, wat de juiste standaard is thuis en de verkeerde in kamer 412.

Daarom is per-app controle de vorm van antwoord die dit probleem wil. Een VPN versleutelt de tunnel, maar elke app blijft praten, en Low Data Mode vraagt beleefd terwijl veel apps weigeren. Wat echt de blootstelling vermindert, is beslissen, voordat je verbindt, welke apps uit mogen, en die beslissing automatisch toepassen in plaats van elke avond te onthouden.

Dit is waarvoor NetMute is gebouwd. De hotspot-bescherming detecteert dat je bent verbonden met een onbekend of onbetrouwbaar netwerk en past onmiddellijk een strikte profiel toe, zonder dat je erover hoeft na te denken, en het handelt captive portals af zodat de inlogpagina van het hotel nog steeds laadt in plaats van geblokkeerd te worden samen met alles anders. Netwerkprofielen worden gekoppeld aan de Wi-Fi-naam, zodat het hotelprofiel de volgende keer automatisch terugkomt wanneer je dat netwerk weer gebruikt, en je normale thuisprofiel terugkeert zodra je thuis bent.

Dagelijks blijven de controles eenvoudig. Elke app kan met één klik geblokkeerd worden, tijdelijke regels vervallen vanzelf zodat een updater voor tien minuten geen blijvende opening achterlaat, en whitelist-modus keert alles om: niets bereikt het netwerk behalve wat je hebt genoemd. Als het hotel de verbinding beperkt of throttelt, beperken per-app datalimieten de overtreders voordat ze een probleem worden.

Het meest bruikbare onderdeel na een reis is het bewijs. De realtime verkeer-monitor en domein-gebaseerde logging beantwoorden de vraag waar dit hele artikel om draait: wat heeft er precies gepraat terwijl je sliep. Het is de moeite waard om het één keer te controleren, omdat de lijst meestal langer is dan je verwacht, en het maakt het profiel voor je volgende verblijf makkelijk te schrijven.