Le WiFi public n'est toujours pas sécurisé, et il le sera toujours s'il n'est pas utilisé avec quelque chose comme un VPN.

• De nombreux sites Web utilisent HTTPS, mais pas presque tous. En fait, plus de 30% ne le font pas.
• Seuls 5% environ des sites Web utilisent le HSTS. Et c'est toujours la confiance lors de la première utilisation. Si l'âge maximum est court, cette première utilisation peut être assez fréquente. Avouons-le, même si vous êtes un pro de la sécurité, il y a de fortes chances que vous tombiez de toute façon pour la bande SSL. Je sais que je le ferais.
• Ce n'est pas parce que vous utilisez HTTPS que vous le faites correctement. Il y a encore beaucoup de contenu mixte là-bas. De nombreux clients prennent toujours en charge les anciennes versions avec des vulnérabilités connues, donc une attaque n'a pas besoin d'être un jour zéro pour réussir.
• Même si vous utilisez HTTPS, vous perdez de toute façon beaucoup d'informations, telles que le domaine que vous visitez, tout votre trafic DNS, etc.
• Un ordinateur ou un téléphone utilise Internet pour plus que la simple navigation:
  • Il suffit d'une application qui est défectueuse (ou non ) crypto pour sa fonction de mise à jour et vous êtes la propriété.
  • Toutes ces applications que vous avez autorisées à accéder à toutes sortes de données personnelles ... Ils téléphonent constamment à la maison et vous n'avez probablement aucune idée des données qu'ils envoient et que se passe-t-il s'il y a des crypto-monnaies qu'ils utilisent?
  • Dancrumb a plus d'exemples dans sa excellente réponse.
• Défense en profondeur.

Un VPN est bon marché et c'est toujours un fruit à portée de main en matière de sécurité.

Je suis un peu surpris que personne n'ait signalé qu'il y a plus sur Internet que HTTP.

Même si vos affirmations sur HTTP (S) et HSTS étaient correctes (et d'autres réponses en parlent) , vous oubliez POP, SMTP, IMAP, FTP, DNS, etc. Aucun de ces protocoles n'est intrinsèquement sécurisé.

Une autre difficulté de l'accès wifi public est que vous êtes sur le même réseau local que d'autres acteurs inconnus. Toute mauvaise configuration de vos autorisations de réseau local peut conduire à une intrusion dans votre appareil. Peut-être chez vous, vous avez configuré des données partagées sur votre réseau local. Désormais, tout le monde sur le même point d'accès wifi peut avoir accès à ces données partagées. Le plus souvent, cette protection est assurée par un pare-feu (que ce soit au bureau ou à domicile), et vous considérez le réseau local plus sécurisé que l'Internet nu. Mais cette fois, vous êtes peut-être sur le même réseau local qu'un attaquant.

Je dirais que chaque fois que vous vous connectez à un réseau accessible au public, vous vous exposez à des risques, les VPN sont excellents, mais ne faites rien pour protéger votre machine contre les menaces sur le réseau local si vous, l'utilisateur, vous trompez et ouvrez dire: votre dossier privé pour le partager avec n'importe qui d'autre.

Une stratégie que j'ai employée et avec laquelle j'ai joué dans le passé lorsque sur un réseau public est le pot de miel à l'ancienne, partager un dossier avec un fichier et surveiller l'accès à ce fichier, déconnectez-vous immédiatement lorsqu'il y accède et vous savez que vous n'y avez pas accédé.

Une partie de l'inquiétude concerne les attaques MiTM et la tendance des ordinateurs portables à être configurés pour se connecter aveuglément à des réseaux ouverts basés sur le SSID après la connexion initiale. Rien n'empêche une partie inconnue de déclencher un point d'accès avec le même SSID que celui utilisé à d'autres endroits. Ainsi, même si une partie de votre trafic peut être protégée, une bonne partie ne le sera pas, et l'attaquant aura un chemin sur lequel il pourra tenter de compromettre votre ordinateur portable.

À propos de l'utilisation des services Wifi publics, Tor et VPN peuvent toujours divulguer des informations.

Outre les implications de sécurité de Tor et VPN, vous devez toujours obtenir au moins les services DHCP du Wifi public.

En fonction des paramètres Wi-Fi, le service d'offre peut toujours ouvrir une fenêtre de navigateur (limitée) directement dans votre appareil, même lorsque vous utilisez un VPN si vous utilisez des technologies de réseau captif, et votre appareil sera exposé et parler en dehors du VPN dans une certaine mesure jusqu'à ce que vous vous authentifiiez dans le portail réseau captif.

IMO, c'est le plus gros éléphant dans la pièce de nos jours auquel les gens ne pensent pas - j'ai écrit une preuve de concept dans FreeBSD qui ouvre une photo du crâne dans le client, avant de vous rendre sur la route VPN, mes collègues n'étaient pas si amusés.

Je conseillerais que selon l'appareil, en plus de Tor ou / et VPN, vous devez au moins avoir les dernières mises à jour du système d'exploitation et un pare-feu finement réglé sur votre appareil

Donc en fait, non, HTTPS et les technologies associées ne sont qu'une (petite) partie de l'équation dans un paramètre de sécurité et ne vous offrent qu'un faux sentiment de sécurité lorsqu'ils sont utilisés en soi .

C'est exactement un scénario dans lequel le chiffrement semi-"opportuniste" (comme l'écosystème mixte en clair / chiffré HTTP / HTTPS) peut vous échouer - à tout le moins, vous devez compter sur votre navigateur pour ne pas ouvrir de manière inattendue une ressource intégrée dans un page Web via un protocole non sécurisé (même si un homme du milieu le rétrograde pour vous), et aussi sur les certificats douteux non acceptés. Pour chaque page, et pour tout ce que chaque page se charge.

Un VPN, comme mentionné, peut encore canaliser toutes sortes de trafic malveillant vers un point de terminaison vulnérable - et inversement.

En l'absence des logiciels malveillants vraiment problématiques comme les enregistreurs de frappe et les logiciels de contrôle à distance illicites, la configuration la plus sûre serait de contrôler un ordinateur distant de confiance via quelque chose comme un bureau à distance ou ssh (avec ou sans transfert X11), ce qui ferait passer tout le trafic pertinent via un canal crypté. L'établissement de ce canal nécessiterait toujours une diligence supplémentaire (par exemple, vérifier manuellement les empreintes de certificats) pour éviter tout risque restant d'attaques MITM (qui pourraient obtenir les informations de connexion d'un attaquant dans le pire des cas).

Comme le dit Norton, une entreprise de sécurité:

Quels sont les risques?

Le problème avec le Wi-Fi public est que il existe un nombre considérable de risques qui accompagnent ces réseaux. Alors que les propriétaires d'entreprise peuvent penser qu'ils fournissent un service précieux à leurs clients, il y a de fortes chances que la sécurité sur ces réseaux soit laxiste ou inexistante.

Attaques de l'homme du milieu

L'une des plus Les menaces courantes sur ces réseaux sont appelées une attaque de type Man in the Middle (MitM). Essentiellement, l'attaque aMitM est une forme d'écoute clandestine. Lorsqu'un ordinateur se connecte à Internet, les données sont envoyées du point A (ordinateur) au point B (service / site Web), et des vulnérabilités peuvent permettre à un attaquant de se placer entre ces transmissions et de les «lire». Donc, ce que les jeunes pensaient n'était plus privé.

Réseaux non chiffrés

Le chiffrement signifie que les messages envoyés entre votre ordinateur et le routeur sans fil sont sous la forme d'un "code secret", afin qu'ils ne puissent être lus par quiconque ne possède pas la clé pour déchiffrer le code. La plupart des routeurs sont expédiés de l'usine avec le cryptage désactivé par défaut, et il doit être activé lorsque le réseau est configuré. Si un professionnel de l'informatique configure le réseau, il y a de fortes chances que le cryptage ait été activé.Cependant, il n'y a pas de moyen sûr de savoir si cela s'est produit.

Distribution de logiciels malveillants

Merci à vulnérabilités logicielles, il existe également des moyens par lesquels les attaquants peuvent glisser des logiciels malveillants sur votre ordinateur sans même que vous le sachiez. Une vulnérabilité logicielle est une faille de sécurité ou une faiblesse trouvée dans un système d'exploitation ou un logiciel. Les pirates peuvent exploiter cette faiblesse en écrivant du code pour cibler une vulnérabilité spécifique, puis en injectant le malware sur votre appareil.

Snooping et sniffing

Le snooping et le sniffing Wi-Fi sont ce à quoi cela ressemble. Les cybercriminels peuvent acheter des kits logiciels spéciaux et même des appareils pour les aider à écouter les signaux Wi-Fi. Cette technique peut permettre aux attaquants d'accéder à tout ce que vous faites en ligne, de la visualisation de pages Web entières que vous avez visitées (y compris les informations que vous avez éventuellement remplies en visitant cette page Web) à la possibilité de capturer vos informations de connexion, et même de pouvoir détourner vos comptes. / p>

Hotspots malveillants

Ces «points d'accès non fiables» incitent les victimes à se connecter à ce qu'elles pensent être un réseau légitime car le nom semble réputé. Supposons que vous séjournez au Goodnyght Inn et que vous souhaitez vous connecter au Wi-Fi de l'hôtel. Vous pensez peut-être que vous avez sélectionné le bon lorsque vous cliquez sur "GoodNyte Inn", mais vous ne l'avez pas fait. Au lieu de cela, vous venez de vous connecter à un point d'accès non autorisé configuré par des cybercriminels qui peuvent désormais consulter vos informations sensibles.

Quand tout le monde connaît ces risques, la chose minimale à faire est de réduire les risques.

À ce sujet, vous pouvez lire quelques articles:

• Est-il sécuritaire d'utiliser le réseau Wi-Fi public?
• Les 10 meilleures façons de rester en sécurité sur le réseau Wi-Fi public
• À propos d'un nouveau risque de sécurité pour les consommateurs

Je ne suis pas sûr à 100% de votre préoccupation.

Les points d'accès Wi-Fi publics ne sont pas dignes de confiance, c'est vrai. Mais Internet n'est pas digne de confiance. Les sites que vous visitez ne sont pas dignes de confiance. Les sites que vous utilisez pour effectuer des recherches sur le Web ne sont particulièrement pas dignes de confiance.

Quelqu'un sur un point d'accès Wi-Fi public pourrait être en mesure d'écouter vos connexions. Quelqu'un , sans aucun doute écoutera toutes vos communications. Cela se produit régulièrement au sein de l'infrastructure du fournisseur, au CIX, aux frontières des pays et au niveau des câbles transocéaniques (et parfois transcontinentaux). Votre fournisseur de confiance peut très bien être autorisé et tenu par la loi (ils sont ici!) D'enregistrer et de stocker des statistiques détaillées sur chaque connexion que vous avez établie, toutes les requêtes DNS, peu importe, et de partager ces informations avec certains moyennement dignes de confiance et certains définitivement pas. des parties dignes de confiance, parmi lesquelles des organisations de pays hostiles.
Tous les principaux États du secteur (pas seulement les États-Unis) ont des organisations d'écoute de dix à cent mille personnes chacune, qui ne font qu'écouter vos communications et créer des profils sur vous en fonction de avec qui vous communiquez, lorsque vous communiquez, quels noms DNS vous résolvez, etc.

Est-ce un problème pour vous? Eh bien, si c'est le cas, n'utilisez pas vraiment Internet.

Quelqu'un sur un hotspot WiFi public pourrait essayer d'exploiter votre ordinateur. Eh bien, devinez quoi, quelqu'un pourrait également le faire via votre connexion Internet domestique. Ce n'est certainement pas aussi simple que d'être sur le même réseau local, mais c'est loin d'être impossible.
Mon vénérable ancien Windows 7 considérait déjà que faire confiance aux hotspots n'était pas une si bonne idée et considère que tous les hôtes ne sont pas approuvés dans ce cadre (à moins que vous ne lui disiez explicitement quelque chose de différent). Cela n'arrive pas sans raison. Mais avec des paramètres raisonnables, être sur un réseau local complètement hostile serait néanmoins raisonnablement sûr. Aucun des services qui ont été exploités au cours des deux dernières années ne fonctionne même sur mon ordinateur (indépendamment de la chute du trafic par le pare-feu). Ne fais pas de merde dont tu n'as pas besoin Moins il y a de services accessibles au réseau, moins il y a d'exploits (plus de RAM disponible et un démarrage plus rapide en bonus gratuit).

Il n'y a pas vraiment beaucoup de raisons d'utiliser un point d'accès WiFi public de toute façon (je ne me souviens pas avoir utilisé un). Une des raisons pourrait être que vous êtes sur la route et que vous devez faire quelque chose de vraiment important en ligne de toute urgence. OK, j'avoue, dans ce contexte, le WiFi public peut provoquer une mauvaise sensation dans l'estomac, mais à quelle fréquence cela se produit-il de toute façon. De plus, votre banque espérons-le utilise https: et vous pouvez vérifier si c'est le cas avant de saisir les informations de votre compte.

Bien que les gens le perçoivent de nos jours. ils doivent être en ligne et joignables toute la journée (soyez honnête, quand avez-vous éteint votre téléphone portable pour la dernière fois?) Ce n'est en fait pas vrai. Vous pouvez très bien effectuer vos opérations bancaires à domicile et vous n'avez pas vraiment besoin d'être en ligne 24h / 24 et 7j / 7 lorsque vous êtes en déplacement. En général, du moins.
Non, être chez Starbucks ne signifie pas que vous devez gazouiller à ce sujet et publier une photo de votre café sur Facebook. Qui s'en soucie de toute façon? Mais si vous pensez que cela est absolument nécessaire et que le WiFi public est trop effrayant, eh bien, utilisez la connexion LTE de votre smartphone (qui est légèrement plus sûre). Ce n'est pas comme si vous deviez utiliser le Wi-Fi public.

Une autre raison d'utiliser un WiFi public serait que vous envisagez de faire quelque chose d'illégal où vous ne voudriez pas que votre identité soit trop facilement identifiée. Bien sûr, vous ne voudriez pas faire des trucs illégaux lourds (vente d'armes, de drogue, de tabac à priser? Terrorisme?) De chez vous. Mais bon, dans ce cas, quel est le problème avec le hotspot qui n'est pas digne de confiance? Je veux dire, sérieusement? Un adolescent reniflant votre trafic sur le hotspot est le moindre de vos problèmes dans ce contexte.

De nos jours, la plupart des sites utilisent HTTPS et définissent des en-têtes HSTS, de sorte que les chances que quelqu'un puisse écouter la connexion de quelqu'un d'autre sont très faibles

Cette hypothèse est effrayante. Le nombre de sites qui définissent les en-têtes HSTS n'a pas d'importance si l'on ne peut pas compter sur HTTPS lui-même pour fournir une sécurité de point final à point final. Et ça ne peut pas. Malheureusement.

Avez-vous entendu parler d'un proxy d'interception TLS? Ils sont monnaie courante. Déployés dans les écoles, les universités et les bibliothèques et utilisés par les employeurs et les cafés, ces proxys matériels (tels que WebTitan Gateway ou Cisco ironPort WSA) rendent le HTTPS nul et non avenu, car lors de la connexion «sécurisée», ils introduisent un certificat dynamique prétendant être le certificat officiel du site Web de destination. Mon navigateur ne connaît pas la différence, et si je ne savais pas mieux, je ferais confiance à chaque connexion HTTPS sur son visage.

Au départ, HTTPS a été conçu pour empêcher les attaques MiTM. Aujourd'hui, le proxy TLS EST l'attaque MiTM! Que vous lisiez vos e-mails ou que vous vérifiiez le solde de votre compte bancaire, vous ne devriez pas vous faire d'illusions sur le fait que HTTPS fait réellement quoi vous vous attendez à ce qu'il fasse, c'est-à-dire sécuriser votre connexion contre les écoutes clandestines. Et à moins que vous ne vous connectiez via votre routeur WIFI domestique &, ou à moins que vous n'utilisiez un VPN décent, habituez-vous au fait que votre connexion est probablement décryptée et rechiffrée à la volée, à votre insu ou sans votre consentement.

Il n'y a guère besoin de considérer les "autres menaces" suggérées par l'OP jusqu'à ce que des connexions cryptées de bonne foi soient la norme. Actuellement, ils ne le sont pas, et HTTPS est une farce. (Pour éviter les écoutes clandestines, utilisez un VPN fiable géré par une entreprise qui ne stockera ni ne publiera aucun enregistrement. Utilisez TOR pour améliorer encore la connexion.)

Pourquoi est-ce que j'affirme que HTTPS / HSTS n'est pas vraiment la couverture de sécurité d'un navigateur Web? Parce que 3 ans avant que OP ne pose la question, elle était déjà exploitée et vaincue. Et juste 2 ans auparavant, il a été subverti. En outre, certaines implémentations populaires de SSL se sont avérées défectueuses dès 1998. Même les autorités de certification (CA) ne sont pas dignes de confiance. Une brève chronologie:

• 1998 - Daniel Bleichenbacher décrit une attaque réussie sur PKCS # 1 v1.5, le (alors) RSA Encryption Standard (à CRYPTO 98); une attaque supposée nécessiter un million de messages d'attaque pour être exploitée
• 2009 - Moxie Marlinspike crée SSLStrip pour attaquer HTTPS ( démo à Black Hat DC 2009)
• 2012 - L'IETF nous donne la RFC 6797, qui implémente le HSTS, conçu pour contrecarrer le stripping SSL
• 2012 - Graham Steel publie un article (au CRYPTO 2012) démontrant que l'attaque d'oracle de remplissage de Bleichenbacher nécessite moins de 15 000 messages - pas un million comme on le supposait à l'origine
• 2014 - Leonardo Nve crée SSLStrip + pour éviter le HSTS ( démo à Black Hat Asia 2014)
• 2015 - Sam Greenhalgh présente les Super Cookies HSTS, montrant comment le mécanisme de sécurité HSTS est facilement contourné être une atteinte à la vie privée
• 2015 - Google se rend compte que Symantec et ses filiales ont frauduleusement émis plus de 30 000 certificats de sécurité sans audits ni divulgations appropriés
• 2016 - Google institue une liste noire publiée de certificats non fiables les autorités, surnommé Submariner
• 2017 - Ars Technica a rapporté que des sites majeurs tels que Facebook et PayPal ont été testés positifs pour la critique de Bleichenbacher, âgée de 19 ans vulnérabilité permettant aux attaquants de déchiffrer les données chiffrées et de signer des communications en utilisant la propre clé de chiffrement secrète des sites
• 2018 - Google met à jour Chrome vers la version 70, afin de déprécier la confiance dans l'autorité de certification Symantec (y compris les marques appartenant à Symantec comme Thawte, VeriSign, Equifax, GeoTrust & RapidSSL); et Mozilla emboîte le pas
• 2018 - Adi Shamir publie un article détaillant que les implémentations modernes de PKCS # 1 v1.5 sont tout aussi peu sûres contre le padding oracle attaques; affectant les protocoles Les services & comme AWS, WolfSSL et la dernière version de TLS 1.3 publiée en août 2018

Actuellement, pour lutter contre des problèmes tels que la "confiance transitive", les sous-CA et les manigances des CA qui les émettent, par exemple GeoTrust, etc., nous avons le protocole DANE, conçu pour "sécuriser" le certificat de sécurité - l'ironie est à ne pas manquer ici - via DNSSEC en permettant aux administrateurs de domaine de créer un TLSA Enregistrement DNS.

Si DANE était largement mis en œuvre, je serais peut-être plus enclin à être d'accord avec l'évaluation de la faible menace du PO, mais l'utilisation de DANE signifie qu'un site doit signer DNSSEC sa zone, et à partir du 2016, seulement environ 0,5% des zones en .com sont signées.

Comme alternative au DANE mal adopté, il existe des enregistrements CAA, conçus pour faire la même chose, mais ce dernier mécanisme n'est pas plus ancré que le premier.

C'est la fin de 2017, et les chances sont extrêmement bonnes quelqu'un peut espionner votre Connexion protégée HTTPS / HSTS.

MISE À JOUR DÉC 2018: Qu'il s'agisse de protocoles non sécurisés, de protocoles sécurisés mal mis en œuvre hors de la portée de l'utilisateur, d'une technologie sécurisée en attente d'adoption par le grand public, d'autorités frauduleuses délivrant des certificats non vérifiés, ou goo d ancienne écoute assistée par le matériel, nous sommes à la fin de 2018 et je maintiens toujours les chances sont extrêmement bonnes que votre connexion HTTPS ne vous protège pas.

Votre argument serait valable si tous les utilisateurs sans fil étaient conscients des implications en matière de sécurité associées à la navigation Web et aux réseaux wifi publics, donc non fiables. Le Wi-Fi n'est pas une menace autant que l'ingénierie sociale ne l'est pas non plus.

En un mot, WiFi&HTTPS ne comporte pas de vulnérabilités , mais cela ne signifie pas qu'ils ne constituent pas une menace .

Un protocole comme https ne peut être aussi sécurisé que le support sur lequel il est transmis, le permettra.

Cela signifie que même si tout ce que vous faites utilise HTTPS (ce n'est probablement pas le cas pour la plupart des gens) , et même si rien de votre côté n'est non sécurisé (c'est probablement le cas), l'attaquant peut cibler votre connexion au WiFi, votre connexion, rechercher des ports ouverts sur votre appareil et faire beaucoup pour contrôler la communication ou l'appareil, ce qui https aussi efficace qu'une serrure sur une porte avec une porte ouverte à côté.