Säker användning av offentligt Wi‑Fi

Offentligt Wi‑Fi är ett trådlöst lokalt nätverk som görs tillgängligt för en obestämd eller stor grupp användare. Kommunikation sker normalt enligt IEEE 802.11 mellan en klient, exempelvis en bärbar dator eller mobiltelefon, och en åtkomstpunkt som i sin tur är ansluten till internet. Nätverkets synliga namn, eller SSID, är endast en identifierare och utgör inte ett bevis på att nätverket drivs av den förväntade verksamheten. Den faktiska säkerheten påverkas av autentisering, kryptering, segmentering, administrativ kontroll och hur nätets gateway hanterar trafik.

Ett öppet nätverk saknar normalt kryptering på länklagret mellan klient och åtkomstpunkt, medan WPA2 eller WPA3 kan skydda den trådlösa förbindelsen genom olika former av autentisering och kryptering. Länkskyddet gäller dock inte automatiskt hela vägen till den slutliga webbtjänsten och hindrar inte att användaren själv ansluter till en falsk webbplats. HTTPS använder i stället TLS för att autentisera tjänsten och skydda data under transport, vanligen med TLS 1.2 eller TLS 1.3. ISO/IEC 27001 är en standard för ledningssystem för informationssäkerhet och kan vägleda organisationens styrning, men den innebär inte att varje enskilt offentligt nätverk är riskfritt.

En vanlig attackmodell är den så kallade ondskefulla tvillingen, där en angripare sänder ut en åtkomstpunkt med ett namn som efterliknar ett legitimt nätverk. Andra risker är manipulering av DNS-förfrågningar, falska inloggningssidor, sessionkapning i bristfälligt skyddade tjänster och försök att utnyttja sårbarheter i föråldrad programvara. Moderna webbplatser använder ofta HSTS, som instruerar webbläsaren att använda HTTPS, men HSTS eliminerar inte risken för felaktiga domännamn eller nätfiske. Risken kan därför inte bedömas enbart utifrån om nätverket kräver ett lösenord.

Praktiska åtgärder:

Verifiera nätverksnamn, lösenord och eventuella anslutningsinstruktioner med den ansvariga verksamheten genom en oberoende kontaktväg.

Välj inte ett nätverk enbart för att namnet liknar hotellets, bibliotekets, flygplatsens eller kaféets namn.

Avsluta anslutningen när den inte längre behövs och ta bort sparade offentliga nätverk som inte används regelbundet.

Använd mobil data eller en egen, lösenordsskyddad mobil hotspot när en säkerhetskänslig uppgift måste utföras.

Kryptering bör bedömas lager för lager. WPA2 och WPA3 skyddar i första hand den lokala radiolänken, HTTPS med TLS skyddar kommunikationen mellan klienten och den aktuella tjänsten, och ett VPN skyddar normalt trafiken mellan klienten och VPN-tjänstens slutpunkt. Dessa mekanismer löser olika problem och är därför inte utbytbara. En VPN-tunnel kan exempelvis dölja trafikens innehåll för den lokala nätoperatören, men VPN-tjänsten kan fortfarande se metadata och i vissa fall trafikens slutpunkter.

Transport Layer Security, TLS, använder certifikat för att binda en kryptografisk nyckel till ett domännamn och förhandlar därefter fram krypteringsnycklar för sessionen. Webbläsaren kontrollerar bland annat certifikatets giltighetstid, utfärdare och överensstämmelse med domännamnet. En certifikatvarning kan bero på felaktig systemtid, felkonfigurerad tjänst eller ett försök att avlyssna kommunikationen och bör inte kringgås utan verifiering. Även när TLS fungerar korrekt kan angripare försöka lura användaren till en legitimt krypterad men bedräglig webbplats.

Enheten bör ha aktiverad brandvägg, aktuella säkerhetsuppdateringar och så få exponerade tjänster som möjligt. Fildelning, nätverksupptäckt, fjärradministration och automatiska anslutningar bör vara avstängda i offentliga miljöer om de inte behövs. Konton bör skyddas med unika lösenord och flerfaktorsautentisering, helst med en motståndskraftig metod som säkerhetsnyckel enligt FIDO2 eller WebAuthn när tjänsten stöder detta. NIST:s principer för identitets- och åtkomsthantering samt ISO/IEC 27001 kan användas som referenser för organisationer, men privatpersoner behöver framför allt följa tjänsternas aktuella säkerhetsrekommendationer.

Praktiska åtgärder:

Kontrollera att webbadressen är korrekt och att anslutningen använder HTTPS innan inloggning eller överföring av personuppgifter.

Ignorera inte certifikatfel, varningar om osäker anslutning eller oväntade omdirigeringar till inloggningssidor.

Aktivera flerfaktorsautentisering och använd olika lösenord för e-post, molntjänster, ekonomi och sociala medier.

Stäng av automatisk anslutning, Bluetooth när det inte behövs, nätverksupptäckt och lokal fildelning i enhetens inställningar.

Säker användning av offentligt Wi‑Fi är även en fråga om informationsklassning och proportionerlig riskhantering. Uppgifter som offentlig läsning av nyheter har normalt lägre konsekvens vid exponering än bankärenden, medicinsk information, företagshemligheter eller administrativ åtkomst till interna system. En enkel metod är att klassificera aktiviteten som låg, måttlig eller hög känslighet och därefter välja anslutning utifrån möjlig skada. För högkänsliga aktiviteter är en betrodd mobil anslutning eller en organisationsstyrd VPN-lösning i regel lämpligare än ett okänt gästnätverk.

Integritetsskydd kräver mer än kryptering. Webbplatser och applikationer kan samla in IP-adress, enhetsinformation, ungefärlig plats, identifierare, cookies och användningsmönster även när innehållet är krypterat. DNS över HTTPS eller DNS över TLS kan skydda DNS-förfrågningar mot vissa lokala observatörer, men påverkar inte all annan metadata och kan vara olämpligt i nätverk som kräver lokal inloggningsportal. Organisationer bör följa principerna om ändamålsbegränsning, uppgiftsminimering och lämpliga tekniska och organisatoriska skyddsåtgärder enligt dataskyddsförordningen, GDPR, när personuppgifter behandlas.

Om en användare misstänker att inloggningsuppgifter har läckt bör lösenordet bytas från en betrodd enhet och aktiva sessioner återkallas där tjänsten erbjuder detta. Misstänkta meddelanden, betalningsförfrågningar och webbsidor bör rapporteras till tjänstens ansvariga aktör, organisationens säkerhetsfunktion eller relevant myndighet. Tecken på incident kan vara oväntade inloggningsvarningar, nya flerfaktorsförfrågningar, ändrade kontoinställningar eller okända transaktioner. Efter en incident är dokumentation av tidpunkt, nätverk, enhet och observerade händelser värdefull för felsökning och eventuell rapportering.

Praktiska åtgärder:

Klassificera uppgiften innan anslutning och undvik högkänsliga ärenden på nätverk som inte står under egen eller betrodd organisations kontroll.

Logga ut från tjänster som inte behöver vara aktiva och radera tillfälliga nedladdningar från en delad eller lånad enhet.

Byt komprometterade lösenord från en betrodd anslutning och återkalla okända aktiva sessioner så snart som möjligt.

Rapportera bedrägeriförsök, obehöriga transaktioner och misstänkta kontohändelser till berörd tjänst, bank eller organisation.