Как защитить ваш Mac в публичных Wi-Fi

Давайте отделим факты от паранойи. Самые распространённые угрозы в публичном Wi-Fi:

Атаки типа "человек посередине" (MITM): кто-то занимает положение между вашим Mac и маршрутизатором и перехватывает трафик. HTTPS частично защищает веб-сёрфинг, но не весь трафик приложений использует HTTPS.

Фальшивые точки доступа: кто-то создаёт поддельный Wi-Fi с легитимным названием ("Starbucks_Free_WiFi"). Вы подключаетесь, и весь трафик отслеживается.

Перехват пакетов: в открытых (незашифрованных) сетях любой может захватывать сетевые пакеты. HTTPS шифрует содержимое, но метаданные, какие серверы вы запрашиваете, когда и как часто, остаются видны.

ARP-spoofing: техническая атака, которая перенаправляет трафик внутри локальной сети.

"Но ведь всё зашифровано через HTTPS!" Частично это правда, но формулировка вводит в заблуждение.

HTTPS защищает содержимое веб-трафика. Злоумышленник не сможет прочитать ваши письма. Но он МОЖЕТ видеть, какие домены вы запрашиваете, DNS-запросы часто не шифруются, время и объём трафика, метаданные, а также любой трафик приложений, не использующих HTTPS.

Многие настольные приложения до сих пор используют незашифрованные соединения для некоторых функций. Проверка обновлений, аналитические запросы и телеметрия часто идут по HTTP.

Что ещё важнее: ваши фоновые приложения на Mac не знают, что находятся в рискованной сети. Dropbox синхронизируется, почтовые клиенты загружают почту, а SDK аналитики отправляют данные домой.

Самая эффективная защита, это уменьшить поверхность атаки. Большинству ваших приложений не нужен доступ в интернет в публичном Wi-Fi.

С помощью брандмауэра для отдельных приложений, например NetMute, создайте сетевой профиль 'Public Wi-Fi', который разрешает только необходимые приложения: браузер, VPN-клиент, возможно, почту. Всё остальное блокируется.

Это предотвращает: фоновым приложениям утечку данных через ненадежные сети, ненужные соединения, раскрывающие метаданные, и синхронизацию больших объемов данных через потенциально контролируемые соединения.

NetMute может автоматически активировать этот профиль при подключении к ненадежной сети.

VPN шифрует весь ваш трафик и направляет его через безопасный туннель. Это не даёт локальным злоумышленникам читать ваши данные. Используйте надёжный VPN в любой публичной сети.

Но VPN не решает всё. Он не останавливает подключение приложений. Он лишь шифрует соединение. Если приложение передаёт данные трекеру, оно продолжит это делать. Трекер всё равно получает ваши данные, просто через зашифрованный туннель.

VPN + межприложный брандмауэр, идеальное сочетание: VPN шифрует, брандмауэр контролирует доступ.

Вот пошаговая настройка, которую мы рекомендуем:

1. Перед подключением: активируй VPN и переключись на ограничительный профиль в NetMute.

1. После подключения: разреши только важные приложения (браузер, VPN, почта). Всё остальное блокируй.

1. Обращай внимание на предупреждения: NetMute предупреждает при подозрительном поведении сети, например, при появлении каптивных порталов.

1. После использования: отключись от публичной сети. Твой обычный профиль восстановится автоматически.

1. Лучшие практики: по возможности никогда не используй чувствительные аккаунты (банкинг, административные панели) в публичном Wi-Fi.

С этой настройкой публичное Wi-Fi станет управляемым и менее рискованным.