WiFi med/utan säkerhet, behöver man VPN?

Om man är utomlands och inte har tillgång till mobildata utan skulle behöva förlita sig på Wi-Fi på flygplats, caféer, hotell eller liknande, hur är då säkerheten egentligen? Jag är inte så bra på sånt här men har fått för mig vissa saker, frågan är om jag fått det om bakfoten eller inte, hoppas att någon kan hjälpa mig...

1) Om det är ett Wi-Fi som är skyddat med WPA2 med lösenord (som man har hemma typ), så är man varken mer eller mindre säker än hemma antar jag? Tycker man har hört om att på ett delat Wi-Fi så kan någon annan "sniffa" trafiken eller nåt... Men jag tänker att eftersom det är krypterat så kan väl någon annan på samma nätverk ändå inte direkt komma åt något?

2) Om det är ett öppet Wi-Fi utan lösenord/säkerhet, vad kan en potentiell bad guy på samma nätverk göra då egentligen? Jag tänker att i princip alla sidor man besöker är https, och jag antar då att trafiken är krypterad och att användarnamn/lösenord också är skyddade via det. Kör man Remote Desktop mot nån server på jobbet är väl det också krypterat/skyddat. Och sitter man på telefon i appar som Facebook, Instagram eller Gmail eller nåt sånt så är väl trafiken också krypterad? Den mesta trafiken på internet idag är väl krypterad i någon form? Så om det stämmer så kanske någon annan på samma nätverk egentligen "bara" kan se vilka sidor/tjänster man besöker? Och skulle väl då kunna utföra någon slags man-in-the-middle attack? Vilket kanske inte är så "bara" i och för sig...

Så om man inte bryr sig eller är orolig för att någon ser vilka sidor/tjänster man besöker, utan mer för om någon kan komma åt ens data/inloggningar, vad får man för nytta av att använda VPN? Särskilt då om man sitter på Wi-Fi med WPA2 och lösen.

Googlade lite igen och hittade detta (länk):
"Att du inte bör använda offentliga wifi-nätverk för att göra bankärenden eller logga in på andra känsliga ställen känner du säkert till. Det kan finnas någon som avlyssnar din trafik och spionerar på lösenord och annat."

Hmmm, går det att snappa upp "lösenord och annat" om man loggar in på banken när man är på ett osäkert Wi-Fi, är inte all trafik till banken säkrad eftersom det är https?

Många frågor blir det.... och jag kanske har fått allt om bakfoten med iofs.

 

Kan bara svara på din titel.

VPN hjälper inte om du ska surfa på osäkra nätverk. Handlar om nätverkslagren och innan din data tunnlas skulle han få tillgång till den.

 

Varför skulle inte VPN hjälpa? Med VPN så krypteras datan INNAN den skickas via wifi. Så hur nån ska kunna få tillgång till nåt via wifi då fattar jag inte

 

Hmmm, jag inser att jag nog har tänkt lite fel. Tänkte nog mest på den trafiken som blir när man själv aktivt surfar/använder tjänster. Men bara genom att vara på nätverket så kanske någon kan hacka sig in i en dator till exempel?

Men hjälper VPN då, blir "all" nätverkstrafik bakom VPN? Skyddar från attacker inifrån lokala nätverket?

 

Men som det jag hittade i artikeln:
"Att du inte bör använda offentliga wifi-nätverk för att göra bankärenden eller logga in på andra känsliga ställen känner du säkert till. Det kan finnas någon som avlyssnar din trafik och spionerar på lösenord och annat."

Kan det verkligen stämma då? Banken kör ju https, inte kan väl någon på samma nätverk ta del av den trafiken?

 

Det ovan gäller för offentliga nätverk UTAN VPN.

 

Så på ett offentligt nätverk, utan VPN, kan någon ta del av trafiken som skickas i en session med https? Alltså se innehållet i den trafiken?

 

Jag tänker mer att ett wifi som andra har tillgång till (oavsett om det är skyddat eller öppet) kan ju spoofas hur lätt som helst. Bara till att sätta upp en accesspunkt med samma SSID och lösenord sen ansluter du till något helt annat än du tror. När du väl är ansluten till hackerns nätverk så hjälper nog inte mycket då hen kan dirigera om din trafik hur som helst. Så när du tror att du surfat in på Facebook så är du redirectad till en sida som stjäl dina uppgifter.

 

I korthet: HTTPS kan du för det mesta lita på, även om du använder ett publikt nätverk. Men det finns ändå skäl att vara restriktiv med vad du gör på ett publikt nätverk.

Längre text:
Ett wifi-nätverk där nyckeln är lätt att få tag på (t.ex. cafe, flygplats osv) innebär inget bra skydd. En angripare som känner till nyckeln kan lyssna på handskakningen, där krypteringsnycklar bestäms mellan din enhet och routern. All trafik som utväxlas därefter går att lyssna på för den personen. Det finns också sätt att framtvinga en ny handskakning, om angriparen skulle komma för sent för att kunna höra den ursprungliga handskakningen.

HTTPS är i grunden säkert. I de flesta fall kan du lita på en HTTPS-anslutning, även om den sker över ett publikt nätverk eller ett nätverk där nyckeln är lätt att få tag på. Detta beror på att handskakningen sker på ett annat sätt än vad som gäller för Wifi-nätverk. Även om en angripare ser handskakningen i klartext så används privata och publika nycklar (assymetrisk kryptering) och ett digitalt certifikat utfärdat av en betrodd certifikatutfärdare, vilket gör datan man ser vid handskakningen värdelös.
"Man in the middle"-attacker kan inte utföras om HTTPS/TSL/SSL är konfigurerat ordentligt. Det enda problemet är att det kan finnas sajter som implementerat dessa protokoll felaktigt. HTTPS kan nedgraderas till vanlig HTTP om Strict Transport Security (HSTS) skulle saknas. Mindre vanligt problem idag, men mer vanligt förr. Det kan också vara så att viss trafik skickas utanför HTTPS-uppkopplingen, om utvecklaren av webbsidan inte vetat vad den gjort. Eller så kan det finnas webbläsartillägg som kapas, och skickar all data okrypterad eftersom de ofta har full tillgång till all webbläsardata. En arbetsgivare kan lägga in egna certifikat i webbläsaren, om enheten ägs av arbetsgivaren, och på så sätt kringgå hela HTTPS-krypteringen. Men då är det enbart arbetsgivaren som kan sniffa din trafik, inte hackaren på caféet direkt.
Ibland kan certifikat återkallas för att privata nycklar har läckt. Läcka nycklar innebär noll skydd, om angriparen har nyckeln. Läckta nycklar är inget stort problem mig veterligen, men när certifikat återkallas finns det problem som går ut på att webbläsaren inte visar någon varning, vilket den borde.
Större regeringar med stor datakraft skulle kunna knäcka HTTPS-krypteringen gissar jag, men FBI kunde inte knäcka krypteringen i ett känt fall för några år sedan, oklart om NSA har den förmågan dock.
Om du använder en app, t.ex. en bankapp för att göra bankärenden, så vet jag inte hur det skulle funka om någonting är fel med krypteringen eller certifikatet. En webbläsare visar ju sådana fel, men hur vet man att en app har koll på det? Förhoppningsvis har bankerna tänkt på det.

Sammanfattningsvis: I de allra flesta fall bör du kunna lita på HTTPS. Men jag skulle ändå fundera innan jag gjorde bankärenden över ett publikt nätverk eller ett nätverk där nyckeln är känd. Banker och större företag har sannolikt implementerat HTTPS ordentligt, så du bör vara säker i så fall, men absolut säker kan man aldrig vara. Din egen enhet kan dessutom läcka data, för att du har fått in något skit i den.
Däremot när det gäller mindre webbsidor så skulle jag inte lita på att de implementerat HTTPS korrekt. Då kan lösenord du skickar komma på vift. Men mig veterligen har Chrome numera en funktion så att alla webbsidor som inte använder HTTPS krypteras automatiskt genom Googles VPN-tunnel (gäller bara webbsidor utan HTTPS, inga andra).

Fast där har du ju fel. Det är ju självklart att all trafik tunnlas genom VPN-tunneln innan den lämnar enheten. Med VPN kan du ansluta till hur osäkra nät som helst. Så länge det är en bra VPN-leverantör som inte gjort missar när de fixat sin tjänst, vill säga.

 

Visst, du kan bli lurad att ansluta till ett annat Wifi-nätverk med samma namn.
Men om du försöker koppla upp dig mot facebook.com (som använder https) men skickas till en helt annan server, så kommer du få ett certifikatfel, alltså en varning, och i många fall även en blockering, som gör att du inte tillåts fortsätta till den felaktiga webbsidan. Så HTTPS bör skydda i den situationen. Skyddet består i att den fejkade sidan facebook.com inte rimligen kan känna till Facebooks privata krypteringsnyckel. Då borde din webbläsare sätta stopp, om allt funkar som det ska.

 

Tack för input alla!
Låter som att man borde ha VPN då om inte annat för ens egen peace of mind. Har Bahnhof hemma så kanske Integrity VPN via dem?

 

Rekommenderar CyberGhost VPN! Citerar mig själv från annan tråd nedan!

Edit: Bild på gränssnittet:

 

Tackar, alltid bra med rekommendationer!
Provar Integrity VPN nu ett tag, fick 6 mån gratis prova-på.

 

Får jag fråga hur du fick 6 månader prova på? Via Bahnhof?

 

Gissar att du tänker på "Kampanjpriset gäller endast nya Bahnhof kunder"?

Jag loggade in för att kolla hur det såg ut när man beställde och då stod det 6 mån prova på ändå. Vet ju inte om det verkligen kommer fungera eller om de försöker ta betalt sen.

Hittade även detta nu, kolla under befintliga kunder:
Integrity kampanj

 

Jag screenshotade hur det såg ut när jag signade upp som "bevis" [emoji1]

 

Chrome kommer blockera osäkert innehåll på HTTPS-sidor - Swedroid

 

Går att använda Cloudflare Warp som VPN om man är ansluten till öppna/osäkra nät. Finns i Cloudflare DNS-appen 1.1.1.1 i Play store. Kostar inget.

1.1.1.1 — The free app that makes your Internet faster.
WARP is here (sorry it took so long)

What WARP Is Not

From a technical perspective, WARP is a VPN. But it is designed for a very different audience than a traditional VPN. WARP is not designed to allow you to access geo-restricted content when you’re traveling. It will not hide your IP address from the websites you visit. If you’re looking for that kind of high-security protection then a traditional VPN or a service like Tor are likely better choices for you.

WARP, instead, is built for the average consumer. It’s built to ensure that your data is secured while it’s in transit. So the networks between you and the applications you’re using can’t spy on you. It will help protect you from people sniffing your data while you’re at a local coffee shop. It will also help ensure that your ISP isn’t hoovering up data on your browsing patterns to sell to advertisers.

WARP isn’t designed for the ultra-techie who wants to specify exactly what server their traffic will be routed through. There’s basically only one button in the WARP interface: ON or OFF. It’s simple on purpose. It’s designed for my mom and dad who ask me every holiday dinner what they can do to be a bit safer online. I’m excited this year to have something easy for them to do: install the 1.1.1.1 App, enable WARP, and rest a bit easier.