Защита от Man-in-the-Middle в общественном Wi-Fi: VPN, HTTPS-прокси и сертификаты

В кафе, отеле, аэропорту или коворкинге главная проблема не в том, что «Wi-Fi без пароля опасен». Опасность в том, что вы не знаете, кто управляет сетью, через какие устройства проходит трафик и не подсовывают ли вам вместо настоящего сайта поддельный. Защита от атак типа Man-in-the-Middle строится на трёх вещах: VPN, грамотном использовании HTTPS-прокси и нормальной проверке сертификатов.

Что именно делает атакующий в общественном Wi-Fi

Man-in-the-Middle, или MITM, — это ситуация, когда между вашим устройством и нужным сайтом оказывается третий участник. Он может читать, менять или перенаправлять трафик. В публичной сети это часто выглядит не как сцена из фильма, а гораздо проще:

• кто-то поднимает точку доступа с похожим названием: CoffeeShop_Free вместо настоящей CoffeeShop;
• злонамеренная сеть перенаправляет DNS-запросы на свои серверы;
• портал авторизации Wi-Fi подменяет страницу входа;
• на HTTP-сайтах атакующий может читать формы, куки и содержимое страниц;
• на HTTPS-сайтах он пытается заставить браузер принять поддельный сертификат.

Если сайт работает только по HTTP, в такой сети лучше вообще не вводить пароли, номера карт и коды доступа. Даже если пароль на Wi-Fi есть, это не доказывает, что сеть честная: пароль только открывает вход в сеть, но не гарантирует, что сайт перед вами настоящий.

Если браузер предупреждает, что соединение небезопасно, не считайте это мелкой ошибкой. Для банков, почты, рабочих систем и личных кабинетов это красный флаг.

VPN: лучшая базовая защита, но не волшебная кнопка

VPN создаёт зашифрованный туннель от вашего устройства до VPN-сервера. Для общественной Wi-Fi-сети ваш трафик выглядит как соединение с одним VPN-адресом. Она не видит, какие именно страницы вы открываете, какие запросы идут к банку или почте, и не может легко подменить DNS внутри этого туннеля.

На практике VPN хорошо защищает от локальных атак в публичной сети: сниффинга трафика, подмены DNS, части rogue Wi-Fi-сценариев и перенаправлений до выхода в интернет. Но есть ограничения. VPN-провайдер видит, куда вы подключаетесь, хотя не видит содержимое HTTPS-трафика. Если вы сами проигнорируете предупреждение сертификата, VPN не спасёт. Если на устройстве уже есть вредоносное ПО или вы установили чужой корневой сертификат, VPN тоже не решит проблему.

При выборе VPN для публичных сетей я бы смотрел не на красивые обещания, а на конкретные функции:

• современные протоколы: WireGuard, OpenVPN, IKEv2;
• автоматическое подключение к ненадёжным сетям;
• kill switch, который блокирует интернет при обрыве VPN;
• защита от утечек DNS;
• приложения для всех устройств, которыми вы пользуетесь;
• понятная политика хранения данных и репутация сервиса;
• отсутствие необходимости устанавливать неизвестные сертификаты или расширения ради «работы».

Для работы лучше использовать корпоративный VPN, если он есть. Личный VPN может защитить канал до интернета, но он не заменит политики компании, контроль устройств и доступы к внутренним системам.

HTTPS-прокси: когда он полезен, а когда это ловушка

HTTPS-прокси часто путают с VPN. Это не одно и то же. Прокси обычно настраивается в браузере или отдельном приложении. Он перенаправляет трафик через другой сервер, но не обязательно защищает всё устройство. Если вы настроили прокси в Chrome, это не значит, что банковское приложение, мессенджер или почтовый клиент пойдут через него.

Есть два принципиально разных варианта.

Первый — прокси, который умеет работать с HTTPS через туннель. Ваш браузер подключается к прокси, а прокси открывает соединение с нужным сайтом. В нормальном сценарии прокси видит адрес сайта и факт подключения, но не видит содержимое HTTPS-страницы. Это может быть полезно, если нужно быстро защитить только браузер и нет VPN. Но это не полноценная замена VPN.

Второй вариант — прокси с SSL-inspection, то есть с расшифровкой трафика. Чтобы это работало, вам предлагают установить корневой сертификат прокси. После этого прокси может выпускать поддельные сертификаты для сайтов, а браузер будет считать их доверенными. В корпоративной среде это иногда используют для контроля трафика на рабочих ноутбуках. На личном телефоне в отеле или кафе такой сертификат ставить нельзя: вы фактически разрешаете посреднику читать ваш HTTPS-трафик.

Если публичный Wi-Fi предлагает «установить сертификат для безопасного доступа», это плохой знак. Нормальная сеть может попросить принять условия подключения или ввести код из SMS, но она не должна требовать установку корневого сертификата на личный телефон или ноутбук.

Проверка сертификатов: что делать, когда браузер предупреждает

HTTPS защищает не потому, что где-то нарисован замочек, а потому что браузер проверяет сертификат сайта. Сертификат подтверждает, что вы подключились именно к нужному домену и что соединение зашифровано доверенным способом.

Если появляется ошибка вроде «сертификат недействителен», «соединение не защищено», «сертификат выпущен для другого сайта» или «удостоверяющий центр не доверен», порядок действий простой: остановиться и не вводить данные.

Что проверить вручную:

1. Домен. Убедитесь, что адрес совпадает с настоящим: например, example-bank.ru, а не example-bank-login.ru или похожая подделка.
2. Предупреждение. Если браузер блокирует страницу, не нажимайте «всё равно перейти».
3. Информацию о сертификате. Посмотрите, кому он выдан, кто его выдал и до какой даты он действителен.
4. Поведение на другой сети. Если ошибка появляется только в этом Wi-Fi и исчезает через мобильный интернет, сеть может вмешиваться в соединение.
5. Установленные сертификаты. Если вы недавно ставили профиль или корневой сертификат от неизвестной сети, браузер может доверять поддельным сертификатам.

Для обычного пользователя не нужно каждый день разбирать цепочки сертификатов. Но нужно запомнить правило: предупреждение сертификата — это не препятствие, которое надо обойти. Это сигнал, что браузер не может доказать, что сайт настоящий.

Отдельный момент — корпоративные устройства. На рабочем ноутбуке может быть установлен корневой сертификат компании, и часть HTTPS-трафика может проверяться политиками безопасности. На личном устройстве такого быть не должно, если вы сами это не разрешили.

Что выбрать в зависимости от ситуации

• Нужно проверить почту или новости в кафе. Включите VPN, откройте сайт через HTTPS, не игнорируйте предупреждения сертификатов. HTTPS-прокси можно использовать только как временную замену, если VPN недоступен.
• Нужно зайти в банк или оплатить покупку. Лучше использовать VPN и проверенную мобильную сеть. Если сертификат вызывает ошибку — остановитесь и не продолжайте оплату.
• Нужно работать с корпоративной почтой, CRM или документами. Используйте корпоративный VPN и правила компании. Не подключайте сомнительные прокси и не отключайте защиту устройства.
• Нужно открыть один сайт через браузер. Можно использовать доверенный HTTPS-прокси, но помните: остальные приложения могут идти напрямую через публичный Wi-Fi.
• Wi-Fi просит установить профиль или сертификат. Откажитесь. Для личного устройства это лишний риск. Если без этого сеть не работает, лучше перейти на мобильный интернет.
• VPN не подключается из-за портала авторизации. Сначала пройдите вход в Wi-Fi, но не вводите там банковские или рабочие данные. После этого сразу включайте VPN.

Частые ошибки, которые оставляют вас без защиты

• Доверять сети с паролем. Пароль на Wi-Fi не проверяет подлинность сайтов, на которые вы заходите.
• Игнорировать предупреждения браузера. Это самый короткий путь к поддельной странице входа.
• Ставить VPN, но забывать про сертификаты. VPN защищает канал, но не отменяет проверку сайта.
• Считать HTTPS-прокси полной заменой VPN. Прокси часто защищает только браузер, а не всё устройство.
• Использовать бесплатные веб-прокси для чувствительных сайтов. Непонятно, кто их держит, что они логируют и не подменяют ли контент.
• Разрешать split tunneling для важных приложений. Если банк или почтовый клиент идут мимо VPN, защита работает только частично.
• Автоматически подключаться к знакомым названиям сетей. Точку с названием «Airport Free Wi-Fi» может поднять кто угодно.
• Скачивать файлы с HTTP-страниц. В публичной сети такой файл может быть подменён.

Как лучше действовать в публичном Wi-Fi

1. Отключите автоматическое подключение к открытым сетям в настройках устройства.
2. Если возможно, уточните точное название сети у сотрудника заведения или на стойке отеля.
3. Подключитесь к Wi-Fi, пройдите портал авторизации, если он нужен.
4. Сразу включите VPN и проверьте, что соединение активно.
5. Убедитесь, что важные сайты открываются по HTTPS.
6. Не устанавливайте сертификаты, профили и расширения, которые предлагает публичная сеть.
7. Если браузер показывает ошибку сертификата, не вводите данные. Проверьте адрес, попробуйте другую сеть или мобильный интернет.
8. После работы с чувствительными сервисами отключитесь от публичной сети или нажмите «Забыть сеть», если не планируете пользоваться ею снова.

Короткий практический вывод

Для общественного Wi-Fi лучшая схема такая: VPN включён до входа в почту, банк, рабочие системы и личные кабинеты; сертификаты проверяются строго; HTTPS-прокси используется только как временное решение для браузера, а не как замена VPN. Если сеть просит установить сертификат, браузер показывает ошибку соединения или вы сомневаетесь в подлинности сайта — не продолжайте. В таких случаях мобильный интернет безопаснее, чем спорный Wi-Fi.