Como proteger seu Mac em Wi-Fi público

Vamos separar os factos da paranoia. As ameaças mais comuns em Wi-Fi público são:

Ataques Man-in-the-Middle (MITM): alguém posiciona-se entre o seu Mac e o router e interceta o tráfego. O HTTPS mitiga isto na navegação web, mas nem todo o tráfego das apps usa HTTPS.

Hotspots falsos: alguém cria um Wi-Fi falso com um nome legítimo ("Starbucks_Free_WiFi"). Liga-se e todo o tráfego é monitorizado.

Packet sniffing: em redes abertas, não encriptadas, qualquer pessoa pode capturar pacotes de rede. O HTTPS encripta o conteúdo, mas os metadados, quais os servidores que contacta, quando e com que frequência, ficam visíveis.

ARP spoofing: um ataque técnico que redireciona o tráfego dentro da rede local.

"Mas tudo está encriptado com HTTPS!" Isso é parcialmente verdade, mas é enganador.

O HTTPS protege o conteúdo do tráfego web. Um atacante não consegue ler os seus e-mails. Mas consegue ver: que domínios contacta, muitas vezes porque as consultas DNS não são encriptadas, a hora e o volume do seu tráfego, e qualquer tráfego de apps que não use HTTPS.

Muitas apps de ambiente de trabalho ainda usam ligações não encriptadas para algumas funções. Verificações de atualizações, pings de análise e telemetria usam muitas vezes HTTP.

Mais importante: as apps em segundo plano no seu Mac não sabem que estão numa rede arriscada. O Dropbox sincroniza, os clientes de e-mail verificam mensagens e os SDKs de análise enviam dados para casa.

A proteção mais eficaz é reduzir sua superfície de ataque. Na Wi-Fi pública, a maioria dos seus aplicativos não precisa de acesso à internet.

Com uma firewall por aplicativo como o NetMute, você cria um perfil de rede "Wi-Fi público" que permite apenas aplicativos essenciais: navegador, cliente VPN e talvez e-mail. Todo o resto é bloqueado.

Isso evita: aplicativos em segundo plano que vazam dados na rede não confiável, conexões desnecessárias que expõem metadados e aplicativos que sincronizam grandes volumes de dados por conexões potencialmente monitoradas.

O NetMute pode ativar esse perfil automaticamente ao se conectar a uma rede não confiável.

Uma VPN encripta todo o seu tráfego e encaminha-o por um túnel seguro. Isto impede que atacantes locais leiam os seus dados. Use uma VPN de confiança em qualquer rede pública.

Mas uma VPN não resolve tudo. Não impede que as suas apps se liguem. Apenas encripta a ligação. Uma app que esteja a vazar dados para um rastreador continua a fazê-lo. O rastreador continua a receber os seus dados, só que através de um túnel encriptado.

VPN + firewall por app é a combinação ideal: a VPN encripta, o firewall controla o acesso.

Recomendamos esta configuração passo a passo:

1. Antes de ligar: ative a VPN e mude para um perfil de rede restritivo no NetMute.

1. Depois de ligar: permita apenas as apps essenciais, navegador, VPN, email. Bloqueie tudo o resto.

1. Esteja atento aos avisos: o NetMute alerta para comportamentos de rede suspeitos, como portais cativos.

1. Depois de usar: desligue-se da rede pública. O seu perfil normal é reposto automaticamente.

1. Boa prática: se possível, nunca use contas sensíveis, banca, painéis de administração, em Wi-Fi público.

Esta configuração torna o Wi-Fi público mais fácil de gerir e menos arriscado.