Varning för gratis wifi när du jobbar på distans

Du har säkert bli­vit var­nad för att använ­da tråd­lö­sa nät­verk på café­er, hotell, flyg­plat­ser, tåg, kon­fe­renscen­ter och så vida­re någon gång. Alla vet ju att man inte kan vara nog försiktig.

Alla var­ning­ar till trots har du säkert och tack­samt använt gra­tis upp­kopp­ling­ar som varit öpp­na eller skyd­da­de med ett enkelt lösenord. Nu när som­ma­ren nal­kas och chan­sen ökar att vi tar ett möte eller sva­rar på lite mejl på ett trev­ligt kafé vill jag för­kla­ra var­för du var­nas för det här med okän­da nätverk.

Vad är det egent­li­gen för faror som lurar bakom café­ked­jans bjus­si­ga gratisuppkoppling?

Avlyssning pågår

Ing­en vill vara den där per­so­nen som sit­ter i kol­lek­tiv­tra­fi­ken och pra­tar högt i tele­fon om kun­der eller detal­jer ur pri­va­ta rela­tio­ner. Eller högt och tyd­ligt bok­sta­ve­rar alle­han­da lösenord och kre­dit­korts­num­mer. Men det­ta är pre­cis vad vi gör på öpp­na nät­verk, och mer där­till. Fast vi bor­de veta bätt­re – tra­fi­ken till och från våra digi­ta­la enhe­ter kan lätt avlyss­nas om vi är oförsiktiga.

Eftersom vi ofta använ­der sam­ma tele­fon, dator, surf­plat­ta och and­ra smar­ta pry­lar till både jobb och pri­va­ta ären­den gäl­ler de här både under och utan­för kon­tors­tid. Och där­för mås­te vi ock­så tän­ka lika strikt kring säker­het när vi gör pri­va­ta saker på fri­ti­den som när vi han­te­rar företagshemligheter.

Om någon lyss­nar på oss när vi pra­tar för högt i tele­fon så är tack och lov avlyss­ning­en begrän­sad till just det sam­ta­let. Men om vi släp­per in någon i våra digi­ta­la flö­den kan den hit­ta sätt att stan­na både i enhe­ter­na och på de digi­ta­la plat­ser vi besöker.

Osäkrade lösenord och vidöppna nätverk

Många nät­verk som är till­gäng­li­ga för dig när du är på resa eller av annan anled­ning befin­ner dig utan­för kon­to­ret krä­ver ett lösenord, men det bety­der inte att infor­ma­tio­nen du skic­kar och tar emot via nät­ver­ket är mer skyd­dad än om du använ­der ett helt öppet nät­verk. Du bör där­för betrak­ta alla nät­verk som okän­da och osäk­ra så länge du inte har för­tro­en­de för den som satt upp det och hur god säker­he­ten fak­tiskt är. Datan är ändå att betrak­ta som öppen för nät­verk­sä­ga­ren och even­tu­el­la hac­ka­re om du inte kan lita på säkerheten.

En vik­tig skill­nad mel­lan pub­li­ka nät­verk, även om de har lösenord, och ditt nät­verk hem­ma är att du inte kan veta vil­ka som ock­så anslu­tit sig till det det pub­li­ka och vil­ka säker­hets­åt­gär­der som skyd­dar dig från dem. Fak­tum är att du inte ens kan vara säker på att du är upp­kopp­lad mot det nät­verk du tror du kopp­lat upp dig mot…

Falska nätverk

På blogg­por­ta­len Medium hit­tar jag den utmärk­ta gui­den How I made a fake access point to har­vest login cre­den­ti­als? till hur man sät­ter upp en falsk acces­s­punkt och län­sar de som kopp­lar upp sig på deras hem­lig­he­ter. Det är en skräm­man­de läsning.

För­fat­ta­ren beskri­ver hur man med lät­till­gäng­lig pro­gram­va­ra kan sät­ta upp en falsk acces­s­punkt, dela ut inter­net­till­gång och sedan spa­ra all akti­vi­tet och alla inlogg­nings­upp­gif­ter som de som kopp­lar upp sig mot acces­s­punk­ten använ­der. Hans råd är att kal­la nät­ver­ket “Free-Wifi” eller nam­net på ett när­be­lä­get café eller hotell.

Låt oss ta ett kon­kret exem­pel: Det finns ing­et som hind­rar att en per­son med en pro­gram­va­ra av det­ta slag sit­ter i sam­ma tåg­vagn som du och delar ut ett nät­verk kal­lat “SJ” – det vill säga pre­cis sam­ma namn som det rik­ti­ga nät­ver­ket som ingår i din biljett.

Mer bekymmer…

Obser­ve­ra ock­så att din dator, tele­fon och smar­t­watch kan vara inställd på att auto­ma­tiskt kopp­la upp sig på nät­verk som inte krä­ver lösenord.

Om du är anslu­ten till ett nät­verk – vil­ket som helst – och inte aktivt kryp­te­rar tra­fi­ken ger du poten­ti­ellt sett den som satt upp nät­ver­ket till­gång till allt du gör på nät­ver­ket; var du är, när du är där, vil­ka sidor du besö­ker och så vida­re. Det är kanske inte så all­var­ligt. Men när du är anslu­ten till ett osä­kert och okryp­te­rat nät­verk, öpp­nar du upp för att en hac­ka­re får till­gång till sam­ma infor­ma­tion. Det vill säga allt du gör medan du är onli­ne. Det inklu­de­rar för­u­tom det som alla nät­verk­sä­ga­re kan få till­gång till, ock­så att spa­ra dina använ­dar­namn, lösenord och annan per­son­lig infor­ma­tion som du anger.

I värs­ta fall kan du ock­så utsät­tas för ett virus eller skad­lig kod som ger full­stän­dig åtkomst till enhe­ten även efter att du kopp­lat ned från den fals­ka acces­s­punk­ten. Om vi åter­går till lik­nel­sen med per­so­nen som pra­tar högt i tele­fon om hem­lig­he­ter – någon fort­sät­ter lyss­na även på näs­ta och näs­ta sam­tal, och kan dess­utom lyss­na i efter­hand på sam­tal som redan förts. Även de sam­tal som för­des med läg­re röst.

”Sniffing”

En hac­ka­re som är upp­kopp­lad till sam­ma nät­verk som dig kan sam­la upp den data som trans­por­te­ras mel­lan nät­ver­ket och din dator. Det gäl­ler fak­tiskt i värs­ta fall även om kom­mu­ni­ka­tio­nen är skyd­dad av kryp­te­ring. En hac­ka­re kan ”lyss­na” på när din dator först anslu­ter sig till nät­ver­ket och använ­da infor­ma­tion från den handskak­ning­en till att dekryp­te­ra tra­fi­ken, eller så kan per­so­nen helt enkelt sam­la tra­fi­ken i sitt kryp­te­ra­de till­stånd och för­sö­ka låsa upp den i efter­hand. Det här gäl­ler allt­så även om nät­ver­ket i sig är kon­fi­gu­re­rat i all väl­vil­ja av ett rik­tigt café eller kontorshotell.

Hur skyddar man sig då?

Som tur är finns det ett antal rela­tivt enk­la sätt att öka säker­he­ten. Jag avslu­tar med att ge tre exempel.

1. Und­vik pub­li­ka tråd­lö­sa nät­verk och nät­verk du inte litar blint på. Använd istäl­let din mobilupp­kopp­ling. Den ger vis­ser­li­gen inte ett hund­ra­pro­cen­tigt skydd, men är betyd­ligt säk­ra­re och svå­ra­re för en hac­ka­re att ta sig in i.
2. Besök bara webb­si­dor med HTTPS. Till Chro­me och Fire­fox finns ett plu­gin som heter HTTPS Any­whe­re som auto­ma­tiskt väl­jer en säker anslut­ning till webb­si­dor där sådan finns. HTTPS är vida­re myc­ket säk­ra­re än HTTP när det gäl­ler att han­te­ra dina inlogg­nings­upp­gif­ter och annan infor­ma­tion, även om det fort­fa­ran­de inte skyd­dar tra­fi­ken från dig till själ­va nät­ver­ket som tar dig vida­re ut på internet.
3. Använd en VPN-kopp­ling för att kryp­te­ra all din tra­fik. VPN (Vir­tu­al Pri­va­te Network) bru­kar beskri­vas som en tun­nel mel­lan din enhet och inter­net – en tun­nel som bara din tra­fik går genom och som är svår­for­ce­rad från utsi­dan. På så vis blir infor­ma­tio­nen skyd­dad från alla som kan tän­kas vil­ja snap­pa upp den på vägen från ditt tan­gent­bord till saj­ten du besöker.