Dùng Wi-Fi công cộng an toàn ở quán cà phê, sân bay, khách sạn

Wi-Fi quán cà phê, mạng sân bay, mạng “Guest” của khách sạn. Chúng rất tiện, nhưng bạn không biết ai vận hành, cũng không biết ai khác đang kết nối. Tin tốt là web ngày nay phần lớn đã dùng HTTPS, nên Wi-Fi công cộng ít nguy hiểm hơn nhiều so với mười năm trước. Tin chưa tốt là “ít hơn nhiều” không có nghĩa là “không còn gì”. Bài này giải thích thứ gì thật sự bị lộ, DNS mã hoá sửa được gì, vì sao trang đăng nhập Wi-Fi hay “đánh nhau” với VPN, và VPN cục bộ như GreenTunnel giúp được tới đâu.

Người cùng mạng thấy được gì

“Người cùng mạng” ở đây là chủ điểm phát Wi-Fi, kẻ đã chiếm quyền router, hoặc một điểm phát giả mạo đặt tên quen thuộc. Đây là những gì họ thấy được trong ba trường hợp:

Có HTTPS, mạng không thể

• đọc trang bạn mở, biểu mẫu bạn điền, mật khẩu, cookie hay tin nhắn của bạn
• sửa nội dung trang mà trình duyệt không báo lỗi chứng chỉ

Dù có HTTPS, mạng vẫn có thể

• biết bạn vào những trang nào, qua truy vấn DNS thường và qua tên trang (SNI) ở đầu mỗi kết nối HTTPS. Encrypted Client Hello giấu được tên này với những trang có hỗ trợ.
• thấy địa chỉ IP bạn kết nối tới, vào lúc nào, và lượng dữ liệu bao nhiêu
• đọc và sửa mọi thứ trên những trang vẫn dùng http:// thường

DNS giả mạo, và DNS mã hoá giúp gì

Khi bạn vào một mạng Wi-Fi, mạng đó báo cho thiết bị dùng máy chủ DNS nào, thường là chính router. DNS thường không có lớp bảo vệ nào, nên một router xấu có thể trả lời “ngân hàng của bạn ở địa chỉ này” bằng một địa chỉ do nó kiểm soát. HTTPS thường sẽ phát hiện bằng lỗi chứng chỉ. Nhưng câu trả lời giả vẫn có thể dẫn bạn tới trang nhái, trang đầy quảng cáo, hoặc link không bao giờ tải được, và mọi truy vấn của bạn đều bị đọc trên đường đi.

DNS mã hoá giải quyết cả hai vấn đề. GreenTunnel gửi truy vấn của mọi ứng dụng qua DoH hoặc DoT thẳng tới nhà cung cấp bạn chọn trong Cài đặt: Cloudflare, Google hoặc Quad9. Nó kết nối tới họ bằng địa chỉ IP có sẵn, nên DNS của mạng Wi-Fi không bao giờ được hỏi. Mạng không còn đọc được truy vấn hay sửa câu trả lời. Danh sách chặn lừa đảo của GreenTunnel còn chặn nhiều trang lừa đảo đã biết trước khi chúng kịp tải. Xem bài tránh trang lừa đảo và giả mạo.

Trang đăng nhập Wi-Fi: khi trang không chịu hiện ra

Nhiều khách sạn, sân bay, quán cà phê bắt bạn đăng nhập hoặc “đồng ý điều khoản” trước khi cho lên mạng. Những trang đăng nhập Wi-Fi (captive portal) này thường hoạt động bằng cách bắt lấy yêu cầu web hoặc truy vấn DNS đầu tiên của bạn rồi chuyển hướng về trang của họ. Điều đó xung đột với mọi VPN, vì GreenTunnel mã hoá DNS và xử lý kết nối trước khi mạng kịp chuyển hướng.

Cách làm chắc chắn nhất:

1. Tạm tắt GreenTunnel, bằng ứng dụng, ô Cài đặt nhanh, hoặc nút Tạm dừng 15 phút trên thông báo Android.
2. Chờ trang đăng nhập tự hiện, hoặc mở một địa chỉ http:// thường bất kỳ trong trình duyệt để kích hoạt nó.
3. Đăng nhập hoặc đồng ý điều khoản. Đừng làm gì khác trong lúc bảo vệ đang tắt.
4. Bật lại GreenTunnel.

Nếu bạn đã bật Chặn kết nối không qua VPN của Android, trang đăng nhập hoàn toàn không tải được khi GreenTunnel tắt. Hãy tạm tắt cả cài đặt đó. Xem bài giữ VPN luôn chạy trên Android. Với mạng bạn hay dùng, thêm tên miền của trang đăng nhập vào Luôn đi thẳng trong Cài đặt sẽ cho nó đi nguyên vẹn, không bị định hình gói tin. Cách này có thể giúp khi trang đăng nhập mở được nhưng chạy không đúng.

Những gì VPN cục bộ không bảo vệ

GreenTunnel chạy hoàn toàn trên thiết bị của bạn, không có máy chủ trung gian. Điều đó tốt cho tốc độ và quyền riêng tư, nhưng cũng đặt ra giới hạn rõ ràng trên Wi-Fi công cộng:

• Không giấu IP. Kết nối đi thẳng từ điểm phát Wi-Fi tới trang web. Mạng thấy bạn kết nối tới những địa chỉ IP nào.
• Không mã hoá thêm ngoài HTTPS. Vượt chặn DPI chỉ định hình lại các gói tin đầu của kết nối, không mã hoá chúng. Tên trang trong SNI vẫn thấy được, trừ khi trang đó dùng ECH.
• HTTP thường vẫn là HTTP thường. Trang tải qua http:// đọc được như nhau, dù có GreenTunnel hay không.
• Không bảo vệ bản thân thiết bị. Chia sẻ file, cổng đang mở và phần mềm cũ là việc của hệ điều hành. Hãy khoá chúng lại.

Những gì GreenTunnel thật sự thêm vào trên Wi-Fi công cộng: DNS mã hoá cho mọi ứng dụng, chặn quảng cáo và lừa đảo, và xem trực tiếp ứng dụng nào kết nối tới đâu trong Requester.

Khi nào nên dùng máy chủ WireGuard hoặc Shadowsocks của riêng bạn

Nếu không muốn mạng biết bạn vào đâu, hãy cho lưu lượng đi qua một máy chủ do bạn kiểm soát. Khi đó Wi-Fi chỉ thấy một kết nối đã mã hoá tới máy chủ của bạn, ngoài ra không thấy gì khác.

• Tunnel Link (WireGuard) chở cả TCP lẫn UDP, kể cả QUIC. Hãy dựng máy chủ WireGuard của riêng bạn, rồi nhập theo bài Tunnel Link.
• Proxy Route với Shadowsocks cũng được mã hoá, và khi bật Gửi cả UDP thì chở cả UDP. Xem bài tự dựng máy chủ Shadowsocks.
• Tránh proxy SOCKS5 và HTTP thường trên Wi-Fi công cộng. Chúng không mã hoá đoạn đường tới proxy, nên mạng đọc được tên trang và cả mật khẩu proxy. Proxy HTTPS thì ổn. So sánh trong bài SOCKS5, HTTP, HTTPS hay Shadowsocks.

Hai cơ chế giữ cho mọi thứ kín kẽ. Khi tuyến đang dùng là proxy không chở được UDP, GreenTunnel chặn mọi UDP trừ DNS. Ứng dụng sẽ chuyển sang TCP và đi qua proxy, nên không có gì lọt ra ngoài trên mạng của quán. Còn nếu máy chủ của bạn ngừng trả lời, các kết nối được định tuyến tới nó sẽ thất bại chứ không lặng lẽ đi thẳng. Xem bài không rò rỉ khi proxy hoặc tunnel lỗi.

Hãy nhớ rằng niềm tin được chuyển sang người vận hành máy chủ đó. Với VPS của riêng bạn, người đó là bạn. Các trang bạn vào khi đó thấy địa chỉ của máy chủ, thay vì địa chỉ của điểm phát Wi-Fi.

Danh sách việc cần làm

1. Hỏi nhân viên tên mạng chính xác. Cẩn thận với mạng mở có tên chung chung như “Free WiFi”.
2. Đăng nhập trang Wi-Fi trước, rồi mới bật GreenTunnel để có DNS mã hoá và chặn quảng cáo, lừa đảo.
3. Chỉ dùng HTTPS, và rời khỏi bất kỳ trang nào hiện cảnh báo chứng chỉ.
4. Dùng tunnel riêng cho việc quan trọng, hoặc chuyển sang dữ liệu di động khi giao dịch ngân hàng, thanh toán.
5. Tắt chia sẻ: chia sẻ file, AirDrop ở chế độ “Mọi người”, và trên Windows hãy đặt mạng là Public.
6. Bật xác thực hai lớp cho các tài khoản quan trọng, để mật khẩu bị lộ thôi là chưa đủ.
7. Cập nhật hệ điều hành và trình duyệt.
8. Quên mạng đó khi rời đi, và tắt tự kết nối với các mạng mở.

Tìm hiểu thêm về GreenTunnel ở trang chủ.

Câu hỏi thường gặp

Trên Wi-Fi công cộng, chỉ cần HTTPS là đủ?

Với nội dung những gì bạn làm thì phần lớn là đủ, miễn là bạn không bao giờ bỏ qua cảnh báo chứng chỉ. Nhưng HTTPS không giấu việc bạn vào trang nào, và DNS thường có thể bị giả mạo. DNS mã hoá lấp lỗ hổng DNS, còn tunnel riêng của bạn giấu phần còn lại.

GreenTunnel có giấu được những gì tôi làm với chủ quán không?

Một phần. Khi bật GreenTunnel, mạng không đọc hay giả mạo được truy vấn DNS của bạn. Nhưng mạng vẫn thấy các địa chỉ IP bạn kết nối tới, và với đa số trang, cả tên trang. Chỉ đi qua máy chủ của riêng bạn mới giấu được những thứ đó.

Vì sao trang đăng nhập Wi-Fi không hiện ra?

Trang đăng nhập dựa vào việc chặn bắt lưu lượng của bạn, điều mà DNS mã hoá và VPN ngăn lại. Hãy tạm tắt GreenTunnel, đăng nhập, rồi bật lại.

Dữ liệu di động có an toàn hơn Wi-Fi công cộng không?

Thường là có. Không ai khác trong quán dùng chung kết nối di động với bạn, và bạn biết nhà mạng là ai. Tuy vậy, nhà mạng di động vẫn thấy được cùng loại thông tin như chủ Wi-Fi, nên DNS mã hoá ở đó cũng hữu ích.