迅维网

标题: 手机连接公共wifi安全吗？ [打印本页]

作者: ttyn727 时间: 2018-5-13 15:53
标题: 手机连接公共wifi安全吗？
手机连接公共wifi安全吗？

作者: cy4080 时间: 2018-5-13 15:53
苹果的，不太安全。

安卓的，太不安全。

越狱的，很不安全。

WP的，比较安全。何况，也没有支付宝账号可以偷不是吗？

作者: gooobooo 时间: 2018-5-13 15:53
此楼中大量大神，不过谁都没有细讲。。。
而我又不太懂安全，如有错误求大神指正。。。

———————— 分割线 ———————
之前和我们老师讨论过这个问题，好久了，可能记不全了。。。

https 确实好一些，但是真的中国的社交网站用么？连163邮箱用的都是 http 协议。。。(有没其他保护方式我不知道

http 意味着
1. 明文传输信息，容易被监听
2. 没有第三方认证网站的真实性，容易被钓鱼

理论上来讲，可能受到的攻击：

1. 钓鱼攻击，在路由器端通过替换请求的 ip 给你换上假网站，你的用户名密码就哈哈哈哈哈了，当然这个对于有密码的网络也可能会有，所以就需要类似 WiFi sense 的东西来判断 WiFi 的安全性了。
如果没有，请注意小绿锁，那是 https 协议的第三方验证，无论如何都不能被伪造的东西。

2. 监听，因为 WiFi 是无线传输，所以理论上来说，用同样的天线可以收到路由器同样的信息，如果 https 只能截到密文，并没卵用，但是 http 的话，你上网看啥就全都被看见了，cookie 也会被偷。

3. 劫持路由器，这个有一些商家的路由器就是 admin admin 的，被劫持真是分分钟，然而路由器功能比较少，能做的坏事就是把路由器上的数据全转到自己的电脑，或者vps 上，类似上一个。。。

4. 别人直接登录到你的手机。。。这个最最可怕，而且不需要你浏览任何网页，只要连上网就会被干掉。。。对这种人只能说。。。让你他妈越狱。。。
（而 wp 的 dev mode 是用临时 pin 来验证的，稍微安全一些。。。

不同手机连WiFi:

同学的苹果见到开放网就连。。。这要是我手机我直接就给砸了。。。（不知道可不可以设置

我的 z1 则是不连接未保存的网络，这是比较安全的。

wp 的 WiFi sense 对于开发 WiFi 或者好友分享的 WiFi，实行的是通过连接该网络的用户数量判断安全不安全，如果安全询问后连接。。。现在连接好友分享的 WiFi 点也是自动关闭的了，可以说是最人性化最安全的。。。
（然而我又安利 wp。。。

作者: tgboler 时间: 2018-5-13 15:53
有https，网银支付宝也会强制https，一般没事
然而你打开任何网页版的服务的时候必须看清楚URL和证书，不然被假网页吊上钩就死了

作者: 闲不住a 时间: 2018-5-13 15:53
不论什么手机，不安全是肯定的，但也不能一概而论。
如果倒霉，连接上了公共场所的WiFi，信息密码都被窃取也没有什么不可能。

曾经就有出现过在公共场所发生交易，结果银行卡被盗刷的案例。

北京电视台《这是为什么》栏目组：
20150428《这是为什么》：为何银行卡里的钱不翼而飞

这是假装黑客设置的wifi：这是为什么

这是用户在连上过后，手机里的信息被投影到播放室，一览无余。

专家详解：

在公共场所无论wifi有没有免费，都建议使用WiFi安全通道

WiFi安全通道原理

补充几个公共场所的事件：

在公共场所我个人是很少连接wifi，无论在哪，基本开流量，特别是移动网银付款，特别是移动网银付款，特别是移动网银付款！。。。（这么重要的事说3遍根本都不够）。

个人建议：
1，公共场所如果实在不忍要连WiFi，无论免费还是要密码，用WiFi安全通道，等于是隔开了个人信息；
2，移动支付用手机自带流量，不要因小失大。

作者: aHNtCqDM 时间: 2018-5-13 15:53
开头是https加密的，浏览器没报错你可以视为安全
http开头的，如果敏感不要在公共wifi下访问。可以买个采用支持ipsec的vpn，最好加上tor及混淆流量插件。

作者: buffona 时间: 2018-5-13 15:53
我自己在家里做过测试，电脑，电视盒子，手机全部连在同一个WIFI。我在手机端用渗透工具对局域网进行监控，当我在电脑上打开知乎时，手机上会显示这个请求，然后直接伪造cookie访问，成功登录知乎，百度也一样能够登录。
还可以将所有下载的图片替换成你指定的图片，在网页中插入脚本，HTTP重定向。
所有的都测试成功。

只能说公共WIFI不安全，但是得有人去这样做啊

作者: cdixeji 时间: 2018-5-13 15:53
站在一个攻击者的角度看一下啊，我认为只要是公共wifi都存在一定安全隐患
第一次回答这种比较专业的问题，也没有整理一个思路，大家将就着看一下：

首先，当我们手机上的wifi开关被打开的时候，就已经存在一定信息的泄露了。先来看一下手机连接到wifi的一个过程：1，周围的AP设备会不定期广播beacon；2我们的手机也会在1-13的信道中发送probe request，这个probe request请求中会包含我们曾经连接过的wifi的ssid和mac地址；3，周围的ap设备探测到这个probe request请求包之后回应给我们的手机等设备probe response数据包；4，我们的终端设备会给路由器发送association request请求包；5，路由器给我们的设备发送association response响应包。接下来就是EAPOL的四次握手认证，这就不再多说，跟我们信息泄露已经没有什么太大关系了。。。
通常来说，我们第一次连接一个wifi的时候，只要输入了这个wifi的密码，下次就不需要再次输入密码了，注意一下手机连接wifi过程的第二步，我们的手机会在1-13的无线信道中发送probe request 数据包，如果是黑客伪造了一个虚假的无线接收到我们的probe request，获取到我们曾经连接过的wifi，然后把自己伪装成它，我们的手机就会自动连接到这个无线网，然后我们就和黑客处在同一个局域网里了，局域网里要获取我们的隐私，一般是通过arp欺骗攻击。接下来。。。。

接下来说一下arp欺骗攻击，举个栗子：
A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA
B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB
C的地址为：IP：192.168.10.3 MAC: CC-CC-CC-CC-CC-CC
A和C之间进行通讯.但是此时B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3（C的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A被欺骗了），这时B就伪装成C了。同时，B同样向C发送一个ARP应答，应答包中发送方IP地址四192.168.10.1（A的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（A的MAC地址本来应该是AA-AA-AA-AA-AA-AA），当C收到B伪造的ARP应答，也会更新本地ARP缓存（C也被欺骗了），这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B完全可以知道他们之间说的什么：）。这就是典型的ARP欺骗过程。
你
我
她
你对她说：嘿姑娘约么。
我伪装成那个姑娘对你说：不约滚
她对你说：我们约哪里？
我对她说：长寿路七天xxx房间。

这是中间人攻击的一种方式，还有一种方式是：我伪装成自己是网关，你所发送的所有请求，都经过我来转发给网关，网关的所有应答再经过我转发给你。这样你所有的请求，包括登陆微博，QQ之类的请求都会被我获取。当然啦，https请求也不是绝对安全的，因为可以通过 SSLStrip这个程序，将https请求降级为http请求。

估计到这里，你的隐私剩下的已经不多了，不用担心，因为，接下来还有：这时候你的所有请求都已经经过我手了，当然你的苍井空老师也是我睡完了给你的。那怎么做才能拿到你手机的控制权呢？
因为我是个智障，所以我就站在智障的角度来考虑一下，假设你用的是安卓手机：我嗅探你所有的请求，咦，我发现了什么，这里有一个.apk的请求，你要下载某个安卓应用程序，分析这个url发现你下载的是zhihu.apk。ok，把我手上这个伪造了图标和名称的知乎apk扔给你，你下载完了，安装，怎么知乎要这么多权限，但急着去知乎装13,哪有心思考虑这些，果断下一步下一步了。应用程序安装完成，可以找遍了屏幕上的每一个角落，也没有找到这个app，我特则发科？实际上这是一个木马程序，只不过这个是没有activity的程序，他安装在了你的手机，拦截你的短信，窃听你的电话，利用你的网络来做ddos，甚至：他还调戏你的女朋友。。
所以说，手机上安装一个xxx卫士，保镖，管家，掌柜的，老板娘之类的程序也是有一点作用的。
那到这里，你的隐私还能剩下多少呢？那就是你的支付宝，微信，银行卡之类的了。啊呸，这都跟钱有关了，劳资不要钱，劳资要女人！先从QQ搞起。

突然看到楼下回答发表的时间，我好像挖坟了，最近在学习网络安全，所以把这些基本的套路发出来博大家一笑。。仰天大笑出门去，壮士一去不复还。

作者: 2125326 时间: 2018-5-13 15:53
总体来说连接公共wifi是否安全看的是你连接的什么wifi，
正常的公共wifi的安全性一般般，看wifi假设方网络管理员的水平决定。
如果你连接的是黑客伪造的wifi，比如我在星巴克用笔记本做路由器开一个wifi名字和星巴克的一样不要密码，一旦你连接进来了，你的一切操作都展现在黑客手下了也就。那是超级危险的。
一般来讲涉及到银行操作的，还是用自家的wifi或者手机自带流量比较好一点

作者: m1717 时间: 2018-5-13 15:53
窝咖啡店一下午轻松盗取一堆微博cookies。。

作者: bdlove 时间: 2018-5-13 15:53
手机连接公共wifi理论上来说说是不安全的。
因为你所有的信息别人都看得到，除了加密的以外。

当然还有一个最简单的方法，就是使用vpn，
一般来说vpn都是收费的，不过你可以搜索一下，opera max，也就是国内的欧朋流量宝。

现在凡是在公共wifi场合登陆需要密码的软件的时候，我都会打开这个软件。

不过总的来说像支付宝网银这样消耗流量比较少的软件，最好还是用流量

作者: oLjwRgTm 时间: 2018-5-13 15:53
安卓绝对不安全！

我也不知道怎么弄得，有一天卡里突然就异地网银取走100……

可那是我最后的100.4块钱T_T
好想哭噢嘤嘤嘤

作者: bdlove 时间: 2018-5-13 15:53
去KTV的时候所有人都在玩手机，说话都没人听。于是拿起手机连接WiFi，然后他们所有人浏览的网页，收到的消息图片都是我的一张恶搞图片。然后就没人再敢连接了。所以，尽量不要连接，你不知道和你同在一个WiFi下的是什么人。

作者: dsadsadsasd 时间: 2018-5-13 15:53
如果你用的是wp手机...

作者: cy4080 时间: 2018-5-13 15:53
不是绝对安全啊！随便伪造一个免费 WiFi，改名成宾馆名字，诱使你连接上，然后劫持里面的每个请求，不就得到你的银行信息了么？

不过也得有人特意这么做。

作者: 快乐.每一天 时间: 2018-5-13 15:53
公共场所的WiFi大多都是安全的。像小博无线的商业WiFi，是通过公安部安全检测的，获取公安部销售许可，防劫持、防诈骗、防蹭网。
另外一定要注意一点，但凡遇到让你输入银行密码或手机密码的商业公共WiFi，还是小心为好。

作者: tcbxh2008 时间: 2018-5-13 15:53
日前，比利时鲁汶大学研究人员Mathy Vanhoef公开了一项关于WPA2/WPA安全性的研究，这起研究表明：WiFi的保护协议存在重大漏洞KRACK，KRACK漏洞的存在足以威胁全球所有WiFi用户。
KRACK（密码重置攻击Key Reinstallation AttaCKs）是基于WiFi的WPA2/WPA保护协议本身存在的缺陷，目前，除了禁用WiFi以外，针对协议本身没有任何有效的防护方案。
WPA2/WPA是目前全球应用最广的WiFi数据保密协议，根据WPA2/WPA的原有设计，一个密钥只能使用一次，安全研究发现，通过操纵重放加密握手消息（即：记录设备与WiFi路由器间的通信数据，并重新发送出去）的动作，可以令已有密钥被重复使用。
Key Reinstallation A acks: Forcing Nonce Reuse in WPA2
由此，攻击者就获得了一个万能密钥，利用这个万能密钥，攻击者可以攻破WPA2协议，窃听WiFi通信数据，破译网络流量、劫持链接、将内容注入流量中。
KRACK漏洞的可怕之处在于，它并不是某一个WiFi设备本身的问题，也不是换密码就能解决的问题，而是安全保护机制本身存在的缺陷，绝大多数WiFi设备都会受到影响，包括微软、安卓、苹果及基于Linux开发的设备。
值得注意的是，KRACK攻击对WiFi设备本身并不造成影响，它绕过登录系统直接截取通信数据，也就是说，KRACK攻击者无需掌握你的密码，只要靠近WiFi设备，即可通过KRACK攻击来获取或篡改你的WiFi通信内容。
KRACK攻击会令WiFi无线网络出于易受攻击的状态，信用卡交易信息、密码、聊天记录、照片、电子邮件等都有可能被黑客窃取。
在论文中，Vanhoef写道，尽管KRACK攻击可以掌握通信数据，但在通信中使用其他技术加密的数据不会曝露，比如保护许多网站内容的基于网络的加密技术。
系统厂商回应
目前，针对KRACK漏洞可能发生的攻击，
Windows 10已在10月的补丁中进行修复；
苹果已在最新beta版中进行修复；
谷歌则表示，已经知道问题的存在，未来几周会给受影响的设备打上补丁。
用户可以这样做
尽管修改密码是无用的，但用户依然可以通过以下行为降低安全风险：
1、及时升级联网设备固件，包括系统补丁及WiFi固件；

2、公共场所尽量使用4G网络而非WiFi，尤其避免使用公共WiFi；

3、对重要数据进行加密处理，比如使用商务密邮进行邮件内容加密。

作者: donaldjackie 时间: 2018-5-13 15:53
基本上是没有问题的。现在公安部门重新修订了82号令，对公共经营场所的WiFi提供有更加明确的要求，需要WiFi服务提供商在安全上做多层级的维护管理。在路由器、网关层面就有一些安全的防护。一般来说，都是较为安全的。

作者: 2125326 时间: 2018-5-13 15:53
连接公众没有密码的WiFi会有风险，但有密码的，甚至酒店的WiFi会好很多，现在互联网时代哪里有绝对的安全呀！

作者: 2125326 时间: 2018-5-13 15:53
路由器开Client Isolation 以后会安全很多吧～～client之间的数据报会被直接drop掉的啊

作者: 静静的读你 时间: 2018-5-13 15:53
很不安全！想黑你，分分钟的事！只是不知道你是否有被我黑的价值。

欢迎光临迅维网 (https://www.chinafix.com/)