Veřejné Wi-Fi sítě: rizika a doporučení pro bezpečné používání

Proč jsou veřejné Wi-Fi sítě rizikové

Veřejné Wi-Fi sítě (kavárny, letiště, hotely, stanice či nákupní centra) jsou navrženy pro dostupnost, nikoli pro bezpečnost. Často využívají sdílené heslo, slabé šifrování nebo žádné ověřování zařízení. Útočníci tak mohou relativně snadno odposlouchávat nezabezpečený provoz, vydávat se za přístupový bod („evil twin“), vkládat škodlivý obsah do nešifrovaných spojení či provádět útoky typu man-in-the-middle.

Typické hrozby na veřejném Wi-Fi

• Odposlouchávání nezabezpečeného provozu: data bez šifrování (HTTP, POP3, IMAP bez TLS) jsou čitelná pro kohokoli v dosahu.
• Evil twin/AP spoofing: útočník vytvoří klon sítě s totožným názvem a přiláká tak zařízení k připojení.
• Captive portál phishing: falešná přihlašovací stránka žádá o hesla, čísla karet či kódy.
• ARP/DNS spoofing: přesměrování na podvržené stránky i při zdánlivě správné adrese.
• Session hijacking: krádež relací při slabém zabezpečení cookies nebo nedostatečném HSTS.
• Malware a exploit kity: infekce prohlížeče pomocí nezaplátaných zranitelností.
• Boční kanály: zneužití aktivního sdílení souborů/tiskáren, AirDrop/Nearby Share bez kontroly.

Kdy veřejné Wi-Fi raději nepoužívat

• Při internetovém bankovnictví, obchodování a správě účtů (pokud nemáte silnou ochranu a vlastní důvěryhodný tunel).
• Při práci s citlivými podnikovými daty bez firemní VPN/ZTNA a politiky DLP.
• Pokud je síť otevřená bez hesla nebo vyžaduje podezřelá oprávnění (instalaci profilů, certifikátů, nejasné souhlasy).

Bezpečné používání: stručný checklist

• Preferujte mobilní data/hotspot nebo důvěryhodnou VPN s aktivovaným kill-switchem.
• Ověřte název sítě u personálu; nepřipojujte se na „Free_WiFi“, „Airport Free“ apod. bez potvrzení.
• Zapněte firewall, vypněte sdílení souborů a služby automatického přijímání souborů.
• Používejte HTTPS-only režim v prohlížeči, kontrolujte zámek a doménu, vyhýbejte se HTTP.
• Aktualizujte systém a prohlížeč, mějte zapnuté automatické aktualizace.
• Přihlašujte se s 2FA/passkeys; nepoužívejte SMS kódy jako jedinou metodu.
• Po odpojení vymažte síť ze známých sítí, aby se zařízení automaticky nepřipojovalo příště.

HTTPS, HSTS a prohlížeč: co sledovat

I na veřejné síti je prohlížeč první linií obrany. Zapněte režim „Pouze HTTPS“ (nebo ekvivalent), kontrolujte platný certifikát a přesnou doménu. Neignorujte varování o certifikátech. Při citlivých operacích používejte samostatné profily prohlížeče či izolované kontejnery (site isolation) a pravidelně mažte cookies pro veřejná prostředí.

VPN: kdy ano, kdy nestačí

• Ano: když potřebujete skrýt provoz před lokální sítí, zabránit MITM a šifrovat vše včetně DNS (tunel s DoH/DoT nebo vlastní DNS v tunelu).
• Není všelék: VPN neochrání před phishingem, kompromitovaným zařízením, škodlivými rozšířeními či únikem dat mimo tunel bez kill-switched.
• Parametry: kill-switch, moderní protokoly (WireGuard/IKEv2), spolehlivý poskytovatel, blokování trackerů/malwaru, možnost vlastního DNS.

Captive portály a „evil twin“: bezpečné přihlášení

• Nejprve se připojte, otevřete pouze neškodnou stránku a vyčkejte na originální portál. Neklikejte na náhodná přesměrování či vyskakovací okna žádající citlivé údaje.
• Nikdy nezadávejte přihlašovací údaje do emailu či sociálních sítí na captive portálu. Pokud portál vyžaduje účet, použijte samostatnou, omezenou identitu.
• Máte-li podezření na klon sítě (stejný SSID, silný signál, ale neobvyklé chování), odpojte se a nahlaste personálu.

DNS bezpečnost a ochrana před přesměrováním

Útoky na DNS jsou časté v nezabezpečených sítích. Preferujte DoH/DoT v prohlížeči nebo směrujte DNS přes VPN. Ověřte, že čistíte DNS cache po odpojení (restart sítě nebo příkaz dle OS). Při podezření na hijacking neprovádějte transakce, dokud nemáte důvěryhodné spojení.

Konfigurace zařízení (Windows, macOS, iOS, Android)

• Firewall: zapnutý, blokovat příchozí spojení z veřejných sítí.
• Profil sítě: nastavte jako „veřejná“/„Public“; vypněte sdílení souborů, SMB, UPnP a zjišťování sítě.
• Automatické připojování: vypněte „Auto-join“ u neznámých SSID; po použití zvolte „Zapomenout síť“.
• AirDrop/Nearby Share/Bluetooth: vypnuté nebo „pouze pro kontakty“; neschvalujte neznámé přenosy.
• Aktualizace a anti-malware: pravidelné aktualizace, reputační ochrana v prohlížeči, minimálně zabudovaný Defender/XProtect.
• Šifrování disku: BitLocker/FileVault aktivní; chrání při ztrátě zařízení v terénu.

Specifická doporučení pro práci na dálku

• Používejte firemní VPN nebo Zero-Trust Network Access (ZTA/ZTNA) s kontrolou stavu zařízení (device posture check: stav zařízení, šifrování, EDR, politiky).
• Ukládejte dokumenty do spravovaných úložišť s DLP a šifrováním; vyhýbejte se synchronizaci do osobních účtů v kavárnách.
• Vypínejte RDP/VNC a jiné vzdálené služby; povolujte je pouze přes zabezpečený tunel a s 2FA.

Bankovnictví a platby na veřejné Wi-Fi

• Upřednostněte mobilní data před veřejnou Wi-Fi.
• Pokud musíte, používejte bankovní aplikace se silným 2FA/passkeys a notifikacemi; nikdy ne přes prohlížeč bez ověření domény a HSTS.
• Nezadávejte údaje o platební kartě do formulářů captive portálů ani podezřelých stránek; používejte tokenizované platby (Apple/Google Pay), kde je to možné.

Čemu se vyhnout (co ne)

• Nepřipojovat se k úplně otevřeným sítím bez hesla při citlivých úkonech.
• Nepovolovat trvalé „auto-join“ u veřejných sítí.
• Nestahovat spustitelné soubory a neotevírat přílohy z neověřených zdrojů.
• Nezadávat firemní přihlašovací údaje do neznámých portálů.
• Nepodceňovat varování prohlížeče o certifikátech a podezřelých přesměrováních.

Čemu dát přednost (co ano)

• Mobilní hotspot z vlastního telefonu (s heslem a WPA2/WPA3).
• VPN s kill-switched a zabezpečeným DNS.
• Moderní protokoly a šifrování: HTTPS, TLS 1.2+, SSH, SFTP; vyhýbejte se zastaralým verzím.
• Passkeys/2FA přes autentifikační aplikaci nebo hardwarový klíč místo SMS.

Tabulka rizik a mitigací

Pokročilé tipy pro náročné

• Prohlížeč v sandboxu/kontejneru: dedikovaný profil pouze pro veřejné sítě; po ukončení vymazat data.
• Bezpečné DNS: vlastní DoH endpoint, DNSSEC validace (kde je to možné).
• WPA3-Enterprise: pokud podnik nabízí 802.1X, preferujte ho před sdíleným heslem.
• Monitorování spojení: upozornění na nové síťové služby v okolí (mDNS/SSDP) a blokování příchozích spojení.

Co dělat při podezření na kompromitaci

1. Okamžitě se odpojte od sítě, vypněte Wi-Fi a deaktivujte automatické připojování k dané síti.
2. Spusťte kontrolu malwaru a změňte hesla z důvěryhodného připojení (mobilní data).
3. Zkontrolujte poslední přihlášení a relace v klíčových účtech, zrušte neznámé relace, aktivujte 2FA.
4. U firemních zařízení kontaktujte IT/SEC tým, zaznamenejte čas a název sítě, uchovejte logy.
5. Pokud došlo k platbě, kontaktujte banka a sledujte transakce; v případě phishingu zvažte zablokování karty.

Politika minimalismu dat na cestách

Čím méně citlivých dat přenášíte a ukládáte na zařízení, tím menší je dopad možného incidentu. Používejte dočasné přístupové tokeny, omezené účty a přenášejte jen nezbytná data. Po návratu vyčistěte cache, stažené soubory a odpojte nepoužívané účty.

Shrnutí

Veřejné Wi-Fi je pohodlné, ale inherentně nedůvěryhodné. Kombinace ověření sítě, HTTPS-only, spolehlivé VPN s kill-switchem, zapnutého firewallu, 2FA/passkeys a disciplinovaného chování zásadně snižuje riziko. Při citlivých operacích upřednostněte mobilní data či vlastní hotspot a po každé veřejné síti proveďte hygienu: zapomeňte síť, zkontrolujte účty a vyčistěte prohlížeč.