Proč jsou veřejné Wi-Fi sítě rizikové
Veřejné Wi-Fi sítě (kavárny, letiště, hotely, stanice či nákupní centra) jsou navrženy pro dostupnost, nikoli pro bezpečnost. Často používají sdílené heslo, slabé šifrování nebo žádné ověřování zařízení. Útočníci proto mohou relativně snadno odposlouchávat nezabezpečený provoz, vydávat se za přístupový bod („evil twin“), vkládat škodlivý obsah do nešifrovaných spojení nebo provádět útoky typu man-in-the-middle.
Typické hrozby na veřejném Wi-Fi
- Odposlouchávání nezabezpečeného provozu: data bez šifrování (HTTP, POP3, IMAP bez TLS) mohou být čitelná komukoli v dosahu.
- Evil twin/AP spoofing: útočník vytvoří klon stejně pojmenované sítě a naláká zařízení k připojení.
- Captive portál phishing: falešná přihlašovací stránka žádá hesla, čísla karet či kódy.
- ARP/DNS spoofing: přesměrování na podvržené weby i při zdánlivě „správné“ adrese.
- Session hijacking: krádež relací při slabém zabezpečení cookies nebo neúplném HSTS.
- Malware a exploit kity: infekce prohlížeče přes nezaplátané zranitelnosti.
- Boční kanály: zneužití aktivního sdílení souborů/tiskáren, služby AirDrop/Nearby Share bez kontroly.
Kdy veřejné Wi-Fi raději nepoužívat
- Při internetovém bankovnictví, obchodování a správě účtů (pokud nemáte silnou ochranu a vlastní důvěryhodný tunel).
- Při práci s citlivými podnikových daty bez firemní VPN/ZTNA a politiky DLP.
- Pokud je síť otevřená bez hesla nebo vyžaduje podezřelá oprávnění (instalaci profilů, certifikátů, nejasná souhlasná prohlášení).
Bezpečné používání: stručný seznam
- Preferujte mobilní data/hotspot nebo důvěryhodnou VPN se zapnutým kill-switchem.
- Ověřte název sítě u personálu; nepřipojujte se k sítím typu „Free_WiFi“, „Airport Free“ apod. bez potvrzení.
- Zapněte firewall, vypněte sdílení souborů a služby automatického přijímání souborů.
- Používejte režim pouze HTTPS v prohlížeči, kontrolujte zámeček a doménu, vyhýbejte se HTTP.
- Aktualizujte systém a prohlížeč, mějte zapnuté automatické aktualizace.
- Přihlašujte se s 2FA/passkeys; nepoužívejte SMS kódy jako jedinou metodu.
- Po odpojení vymažte síť ze známých sítí, aby se zařízení automaticky nepřipojovalo příště.
HTTPS, HSTS a prohlížeč: na co si dát pozor
I na veřejné síti je prohlížeč první linií obrany. Zapněte režim „Pouze HTTPS“ (nebo ekvivalent), kontrolujte platný certifikát a přesnou doménu. Neignorujte varování o certifikátech. Při citlivých úkonech používejte samostatné profily prohlížeče, případně izolované kontejnery (site isolation) a pravidelně mažte cookies pro veřejné prostředí.
VPN: kdy ano, kdy nestačí
- Ano: když potřebujete skrýt provoz před lokální sítí, zabránit MITM a šifrovat vše včetně DNS (tunel s DoH/DoT nebo vlastní DNS v tunelu).
- Není všelék: VPN neochrání před phishingem, kompromitovaným zařízením, škodlivými rozšířeními nebo únikem dat mimo tunel bez kill-switched.
- Parametry: kill-switch, moderní protokoly (WireGuard/IKEv2), spolehlivý poskytovatel, blokování trackerů/malwaru, možnost vlastního DNS.
Captive portály a „evil twin“: bezpečné přihlášení
- Nejdříve se připojte, otevřete jen neškodnou stránku a vyčkejte na originální portál. Neklikejte na náhodná přesměrování či vyskakovací okna žádající citlivé údaje.
- Nikdy nezadávejte přihlašovací údaje do e-mailu či sociálních sítí na captive portálu. Pokud portál vyžaduje účet, ať jde o samostatnou, omezenou identitu.
- Máte-li podezření na klon sítě (stejný SSID, silný signál, ale nestandardní chování), odpojte se a nahlaste to personálu.
DNS bezpečnost a ochrana před přesměrováním
Útoky na DNS jsou časté v nezabezpečených sítích. Preferujte DoH/DoT v prohlížeči nebo směrujte DNS přes VPN. Ověřte, že „čistíte“ DNS cache po odpojení (restart sítě nebo příkaz podle operačního systému). Při podezření na hijacking neprovádějte transakce, dokud nemáte důvěryhodné spojení.
Konfigurace zařízení (Windows, macOS, iOS, Android)
- Firewall: zapnutý, blokovat příchozí spojení z veřejných sítí.
- Profil sítě: nastavte jako „veřejná“/„Public“; vypněte sdílení souborů, SMB, UPnP a zjišťování sítě.
- Automatické připojování: vypněte „Auto-join“ u neznámých SSID; po použití zvolte „Zapomenout síť“.
- AirDrop/Nearby Share/Bluetooth: vypnuto nebo „jen pro kontakty“; neschvalovat neznámé přenosy.
- Aktualizace a antimalware: pravidelné aktualizace, reputační ochrana v prohlížeči, minimálně vestavěný Defender/XProtect.
- Šifrování disku: BitLocker/FileVault aktivní; chrání při ztrátě zařízení v terénu.
Specifická doporučení pro práci na dálku
- Používejte firemní VPN nebo Zero-Trust Network Access (ZTA/ZTNA) s device posture check (stav zařízení, šifrování, EDR, politiky).
- Ukládejte dokumenty do spravovaných úložišť s DLP a šifrováním; vyhněte se synchronizaci na osobní účty v kavárnách.
- Vypínejte RDP/VNC a jiné vzdálené služby; povolujte je pouze přes zabezpečený tunel a s 2FA.
Bankovnictví a platby na veřejné Wi-Fi
- Upřednostněte mobilní data před veřejnou Wi-Fi.
- Pokud musíte, používejte bankovní aplikace s silným 2FA/passkeys a notifikacemi; nikdy ne přes prohlížeč bez ověření domény a HSTS.
- Nezadávejte údaje o platební kartě do formulářů na captive portálech ani podezřelých stránkách; používejte tokenizované platby (Apple/Google Pay), kde je to možné.
Čemu se vyhnout (co ne)
- Nepřipojovat se k zcela otevřeným sítím bez hesla při citlivých úkonech.
- Nepovolovat trvalé „auto-join“ pro veřejné sítě.
- Nestahovat spustitelné soubory a neotvírat přílohy z neověřených zdrojů.
- Nevkládat firemní přihlašovací údaje do neznámých portálů.
- Nepodceňovat varování prohlížeče o certifikátech a podezřelých přesměrováních.
Čemu dát přednost (co ano)
- Mobilní hotspot z vlastního telefonu (s heslem a WPA2/WPA3).
- VPN s kill-switch a zabezpečeným DNS.
- Moderní protokoly a šifrování: HTTPS, TLS 1.2+, SSH, SFTP; vyhýbejte se zastaralým verzím.
- Passkeys/2FA přes autentifikační aplikaci nebo hardwarový klíč místo SMS.
Tabulka rizik a mitigací
| Riziko | Příznaky | Prevence/Reakce |
|---|---|---|
| Evil twin | Více sítí se stejným názvem, neobvyklý captive portál | Ověřit název u personálu, používat VPN, odpojit se při podezření |
| DNS hijacking | Známé stránky vypadají jinak, varování certifikátů | DoH/DoT nebo VPN, kontrola certifikátů, nepokračovat při varování |
| Session hijacking | Nepředpokládané odhlášení, podezřelé aktivity účtu | HTTPS-only, SameSite/secure cookies (na straně služeb), 2FA, revokace relací |
| Malware/Exploit | Popupy, přesměrování, vysoké využití CPU | Aktualizace OS/prohlížeče, EDR/antimalware, zásada „neinstalovat nic“ na veřejné síti |
| Únik dat | Podivné odesílání, DLP alarmy | Šifrovaná úložiště, přístup jen přes důvěryhodné tunely, minimalismus dat |
Pokročilé tipy pro náročné
- Prohlížeč v sandboxu/kontejneru: dedikovaný profil jen pro veřejné sítě; po ukončení vymazat data.
- Bezpečné DNS: vlastní DoH endpoint, DNSSEC validace (kde je to možné).
- WPA3-Enterprise: pokud podnik nabízí 802.1X, preferujte ho před sdíleným heslem.
- Monitorování spojení: upozornění na nové síťové služby v okolí (mDNS/SSDP) a blokování příchozích spojení.
Co dělat při podezření na kompromitaci
- Okamžitě se odpojte od sítě, vypněte Wi-Fi a automatické připojování k dané síti.
- Spusťte kontrolu malwaru a změňte hesla z důvěryhodného připojení (mobilní data).
- Zkontrolujte poslední přihlášení a relace v kritických účtech, zrušte neznámé relace, zapněte 2FA.
- U firemních zařízení kontaktujte IT/SEC tým, zaznamenejte čas a název sítě, uchovejte logy.
- Pokud proběhla platba, kontaktujte banka a sledujte transakce; v případě phishingu zvažte blokaci karty.
Politika minimalismu dat na cestách
Čím méně citlivých dat přenášíte a ukládáte na zařízení, tím menší je dopad případného incidentu. Používejte dočasné přístupové tokeny, omezené účty a přenášejte jen nezbytná data. Po návratu vyčistěte cache, stažené soubory a odpojte nepoužívané účty.
Shrnutí
Veřejné Wi-Fi je pohodlné, ale inherentně nedůvěryhodné. Kombinace ověření sítě, režimu pouze HTTPS, spolehlivé VPN s kill-switched, zapnutého firewallu, 2FA/passkeys a disciplinovaného chování zásadně snižuje riziko. Při citlivých úkonech upřednostněte mobilní data či vlastní hotspot a po každé veřejné síti proveďte hygienu: zapomenout síť, zkontrolovat účty a vyčistit prohlížeč.
