免費WIFI，真的安全嗎？

您在此处：

主頁
支援中心
辦公室防洩密
免費WiFi，真的安全嗎？

2018-5-18 鐘雅婷 資深軟體經理

摘要
隨著移動網民數量的暴增以及出門閒暇時間需要瀏覽網頁的需求，人們對於WiFi的需求日益增長，但是公共場所提供的免費WiFi真的安全嗎？我們又該如何正確認識并規避這些風險呢？

免費WiFi下的洩密危機

隨著互聯網的進一步普及以及手機性能的進一步提升，手機上網已成為不可逆轉的大潮。世界網民的規模呈爆發性增長，截止至2017年12月，根據《世界互聯網發展報告》發佈的資料，世界網民規模已超過38.9億，互聯網普及率為51.7%，其中手機網民占比達37.63億，占比高達97.5%。手機網民的增長，推動了移動支付、網約車、共用單車等新興產業的發展，使世界社會進入了前所未有的便民狀態。在移動應用變得豐富的同時，更多的用戶選擇使用WiFi作為接入移動互聯網的方式，尤其是在使用影片、直播、遊戲等大流量應用時，可以說WiFi已是手機網民上網的首選方式，各種免費WiFi也成為了各類家庭、商戶以及辦公室場景的標準配備。與此同時，與WiFi相關的網路安全事件也頻頻出現，2017加上各種權威媒體上也常能看到各種專家議論各種連接WiFi熱點背後的危機，究竟WiFi是否真的具有如此大的風險呢？

正確認識WiFi背後的風險

雖然用戶在家中自己架設的路由器WiFi熱點安全性基本可以得到保障，但我們難免會在外使用商戶提供的免費WiFi，那麼這些免費WiFi到底隱藏著怎樣的風險呢？根據不同的安全指標以及連接後的攻擊方式，風險WiFi熱點可以大致分為低危、中危、以及高危三個等級。

低危	網頁篡改後被插入廣告連結。用戶在瀏覽網頁時，並未主動點選卻有煩人的廣告彈出。
	網頁篡改後被插入暗鏈。在用戶手機後臺點選廣告，達到惡意推廣、廣告刷量等目的，由於在手機後臺完成，用戶通常很難發現。
中危	DNS：攻擊者在劫持的網路範圍內阻截功能變數名稱解析的請求，分析請求的功能變數名稱，把審查範圍以外的請求放行，否則返回惡意攻擊者的IP位址，使使用者對特定的網路無法訪問或跳轉惡意網址。
	ARP：攻擊者通過偽造IP位址和MAC位址實現ARP欺騙，能夠在網路中產生大量的ARP通訊量使網路阻塞，攻擊者只要持續不斷的發出偽造的ARP回應包就能更改標主機ARP緩存中的IP-MAC條目，造成網路中斷或中間人攻擊。
高危	SSL：SSL挾持是典型的中間人攻擊，攻擊者通過挾持SSL證書或降低證書加密保護等級的方式，在網路中偷窺使用者資料，導致使用者密碼、資料洩露。
	網頁篡改後導向釣魚網站：駭客可以通過釣魚網站獲取使用者個人敏感資訊，並通過這些資訊假冒使用者進行欺詐盜取錢財。目前釣魚網站形式多樣，但其主要有兩種詐騙形式：第一種是冒充官方中獎網站，誘騙使用者填寫個人資訊；第二種則是高仿線上支付網頁，引誘用戶誤操作。

從上文可以看到，當用戶連接風險WiFi時，上網行為將會遭到一定的干擾。但是，即便是不慎連接中等風險的WiFi，只要用戶加強風險意識、提高防範，實際上並不會造成太大實質性的損失。實際上，根據《2017年公共WiFi安全大資料》的資訊顯示，所有風險WiFi在WiFi總數的占比中不足1%，容易造成損失的高危風險熱點占比僅為0.009%。但是，風險WiFi往往偽裝成公共免費WiFi，而連接公共WiFi的用戶基數大、頻次高，因此仍然需要謹慎對待，提高安全意識。

連接風險WiFi會直接導致財產損失嗎？

一直以來，人們普遍認為，一旦連接風險WiFi後執行網上銀行、Paypal等支付類app，帳戶就會被駭客所控制，發生帳戶被盜，信用卡盜刷等損失。實際上，這並非如此。現在正規的支付類軟體，在與使用者進行資料交換時都採用雙向加密的通信方式，這代表就算加密資訊被中途劫持，攻擊者也無法對資料進行解密或篡改。因此，僅通過WiFi這一管道就盜取使用者帳號密碼的幾率微乎其微，現存的網路盜刷按鍵，大多數都是因被駭客釣魚洩露了驗證碼或設備本身已經中毒所導致，因此無需過分擔心。