公共Wi-Fi中的真正威胁
让我们区分事实与偏执。公共Wi-Fi中最常见的威胁包括： 中间人攻击（MITM）：有人在你的Mac和路由器之间位置，拦截流量。HTTPS可以缓解网页浏览的风险，但并非所有应用程序流量都使用HTTPS。 伪造热点：有人创建一个伪造的Wi-Fi，使用合法名称（如“Starbucks_Free_WiFi”）。你连接后，所有流量都受到监控。 数据包嗅探：在开放（未加密）网络中，任何人都可以捕获网络数据包。HTTPS加密内容，但元数据——你联系的服务器、时间、频率——仍然可见。 ARP欺骗：一种技术攻击，将本地网络中的流量重定向。
为什么仅使用HTTPS不够
“但一切都用HTTPS加密了！”——部分正确，但具有误导性。 HTTPS保护网页流量的内容。攻击者无法读取你的电子邮件，但可以看到：你联系的域名（DNS查询通常未加密）、流量的时间和量（元数据）以及未使用HTTPS的应用程序流量。 许多桌面应用程序在某些功能上仍使用未加密连接。更新检查、分析Ping和遥测通常使用HTTP。 更重要的是：你的Mac后台应用程序不知道自己在风险网络中。Dropbox同步、电子邮件客户端拉取邮件、分析SDK会回家打电话。
第一步：保护应用程序
最有效的保护措施是减少你的攻击面。在公共Wi-Fi中，大多数应用程序不需要互联网访问。 使用像NetMute这样的每应用防火墙，你可以创建一个“公共Wi-Fi”网络配置文件，只允许必要的应用程序：浏览器、VPN客户端，也许还有电子邮件。其他一律阻止。 这样可以防止：后台应用程序通过不可信网络泄露数据、无用连接泄露元数据，以及同步大量数据的应用程序通过可能被监控的连接传输数据。 NetMute可以在你连接到不可信网络时自动激活此配置文件。
第二步：使用VPN（但要了解限制）
VPN会加密你的全部流量，并通过安全隧道传输。这可以防止本地攻击者读取你的数据。在每个公共网络中都应使用可靠的VPN。 但VPN不能解决所有问题。它不会阻止你的应用程序连接——它只加密连接。泄露数据给追踪器的应用程序仍然会泄露。追踪器仍然可以获得你的数据，只是通过加密的隧道。 VPN + 每应用防火墙是理想组合：VPN负责加密，防火墙控制访问权限。
完整的公共Wi-Fi保护方案
以下是我们推荐的逐步设置： 1. 连接前：启用VPN，切换到NetMute中的限制性网络配置文件。 2. 连接后：只允许必要的应用（浏览器、VPN、电子邮件），阻止其他所有。 3. 注意警告：NetMute会在检测到可疑网络行为（如登录门户）时发出警告。 4. 使用后：断开公共网络连接。你的正常配置文件会自动恢复。 5. 最佳实践：尽可能不要在公共Wi-Fi中使用敏感账户（银行、管理面板）。 通过此方案，公共Wi-Fi的风险变得可控。