Zo bescherm je je Mac in openbaar wifi

Laten we feiten van paranoia scheiden. De meest voorkomende bedreigingen op openbaar wifi zijn:

Man-in-the-Middle (MITM)-aanvallen: iemand plaatst zich tussen je Mac en de router en onderschept verkeer. HTTPS beperkt dit voor web browsing, maar niet al het appverkeer gebruikt HTTPS.

Nep-hotspots: iemand maakt een nep-wifi aan met een legitieme naam ("Starbucks_Free_WiFi"). Je maakt verbinding en al het verkeer wordt gemonitord.

Packet sniffing: in open, onversleutelde netwerken kan iedereen netwerkpakketten vastleggen. HTTPS versleutelt de inhoud, maar metadata, welke servers je contacteert, wanneer en hoe vaak, zijn zichtbaar.

ARP spoofing: een technische aanval die verkeer binnen het lokale netwerk omleidt.

"Maar alles is toch versleuteld met HTTPS!" Dat klopt deels, maar is misleidend.

HTTPS beschermt de inhoud van webverkeer. Een aanvaller kan je e-mails niet lezen. Maar hij kan wel zien: welke domeinen je contacteert, DNS-verzoeken zijn vaak onversleuteld, timing en volume van je verkeer, metadata, en al het appverkeer dat geen HTTPS gebruikt.

Veel desktopapps gebruiken voor sommige functies nog steeds onversleutelde verbindingen. Updatecontroles, analytics-pings en telemetrie gebruiken vaak HTTP.

Nog belangrijker: de achtergrondapps op je Mac weten niet dat ze op een risicovol netwerk zitten. Dropbox synchroniseert, e-mailclients halen mail op, en analytics-SDK's bellen naar huis.

De meest effectieve bescherming is het verminderen van je aanvalsvlak. In openbaar wifi hebben de meeste van je apps geen internetverbinding nodig.

Met een per-app firewall zoals NetMute maak je een 'Openbaar Wifi'-netwerkprofiel dat alleen essentiële apps toestaat: browser, VPN-client en misschien e-mail. Alles anders wordt geblokkeerd.

Dit voorkomt: achtergrond-apps die gegevens lekken via het onbetrouwbare netwerk, onnodige verbindingen die metadata prijsgeven, en apps die grote hoeveelheden data synchroniseren via een mogelijk gecontroleerde verbinding.

NetMute kan dit profiel automatisch activeren wanneer je verbinding maakt met een onbetrouwbaar netwerk.

Een VPN versleutelt al je verkeer en stuurt het door een veilige tunnel. Dat voorkomt dat lokale aanvallers je gegevens kunnen lezen. Gebruik op elk openbaar netwerk een betrouwbare VPN.

Maar een VPN lost niet alles op. Het stopt niet dat je apps verbinding maken. Het versleutelt alleen de verbinding. Een app die gegevens lekt naar een tracker, doet dat nog steeds. De tracker ontvangt je gegevens nog steeds, alleen via een versleutelde tunnel.

VPN + firewall per app is de ideale combinatie: de VPN versleutelt, de firewall regelt de toegang.

Hier is de stapsgewijze setup die wij aanbevelen:

1. Voor het verbinden: activeer VPN en schakel over naar een restrictief netwerkprofiel in NetMute.

1. Na verbinding: alleen essentiële apps toestaan (browser, VPN, e-mail). Alles anders blokkeren.

1. Let op waarschuwingen: NetMute waarschuwt bij verdacht netwerkgedrag zoals captive portals.

1. Na gebruik: verbreek de verbinding met het openbare netwerk. Je normale profiel wordt automatisch hersteld.

1. Best practice: gebruik geen gevoelige accounts (bankieren, beheerderspanelen) bij voorkeur nooit in openbaar wifi.

Met deze setup wordt openbaar wifi van riskant naar beheersbaar.