公共 WiFi 默认是不安全的。通过 HTTPS 浏览新闻或观看视频通常风险较低。但在无法验证的网络上进行银行转账、刷卡支付或登录工作系统，除非增加保护措施，否则会带来更大的风险。
WiFi 名称仅仅是接入点设置者选择的一个标签。浏览器中的挂锁图标只意味着与该特定网站的连接已加密，并不代表该 WiFi 网络本身值得信赖。贴在咖啡馆柜台上的密码或许可以控制对网络的访问，但并不能证明还有谁可以使用该网络，也无法证明该网络是如何受到管理的。
Neighbourhood Watch 的研究发现，十分之六的英国人经常使用公共 WiFi，且 28% 的人在感到不安全时仍会连接到未受保护的网络。请将网络与在线服务区分看待：检查挂锁图标保护的是什么，并判断相关操作是否适合在无法验证的连接上进行。
关于公共 WiFi 安全性的简明解答
公共 WiFi 默认是不安全的。用它来阅读、搜索和流媒体播放都没问题，但在没有自行增加保护措施的情况下，千万不要用它登录任何涉及资金、身份或工作访问权限的内容。
原因在于架构本身，而非戏剧性的攻击手段。任何人都可以运行无线接入点：咖啡馆的路由器、某人包里的手机、停在外面的面包车里的笔记本电脑。您 WiFi 列表中的名称只是运营者输入的一个标签，因此一个友好、熟悉的名称完全不能证明网络的另一端是谁。
| 活动 | 在未验证的公共 WiFi 上的风险 | 合理措施 |
|---|---|---|
| 阅读新闻或浏览普通网站 | 当网站使用 HTTPS 时风险较低 | 可接受 |
| 搜索及流媒体视频播放 | 低至中等 | 不登录情况下可接受 |
| 社交媒体登录 | 中等 | 使用带有双重身份验证的官方应用，或使用移动数据网络 |
| 个人电子邮件 | 中至高 | 使用移动数据网络或 VPN |
| 网上银行 | 高 | 使用移动数据网络 |
| 银行卡支付和在线结账 | 高 | 使用移动数据网络或受信任的网络 |
| 工作系统与管理员访问 | 极高 | 切勿使用，除非托管 VPN 始终处于开启状态 |
公共 WiFi 安全吗？对于前两行，大致安全。对于后三行，并不安全，无论打字时多么谨慎也无法改变这一事实。
用户的行为尚未跟上这种区分。Neighbourhood Watch 于 2021 年发布的针对 16,000 个英国住户的研究发现，十分之六的英国人经常使用公共 WiFi。在受访者中，28% 的人即使感到不安全或处于暴露风险中，也依然会连接到未受保护的网络，另有 23% 的人为了便利而明知故犯，忽视可察觉的风险。该研究还发现，67% 的人认为所有场所都应提供受密码保护的 WiFi，这表明人们在多大程度上将密码视作信任信号而非技术设置。
该信号比看起来要微弱，这也是本指南其余部分将网络与服务区分开来的原因。共享密码仅控制准入。它既不能证明热点是真实可信的，也不能对您的流量进行端到端加密。
出门在外需牢记的准则：公共 WiFi 适合用于浏览阅读；而在没有 VPN 或移动数据网络的情况下，绝不适合用于登录任何重要内容。
公共 WiFi 攻击的工作原理
一名旅客降落在英国的一处机场，打开 WiFi 列表，点击了看起来像是机场官方的网络。页面随之弹出，随后显示一个输入框，要求输入电子邮箱和密码以“激活”会话。两分钟后，网络连接成功。旅客查收了邮件，核对了账户余额，一切看起来都很正常。
下方的图表展示了在未经任何人验证的网络上，拦截行为是如何发生的。
在这一看似普通的体验背后存在四种机制，而旅客对此浑然不觉。
恶意热点。攻击者会运行一个带有极具迷惑性场所名称的接入点。启用了自动加入功能的设备会直接连接上去，而该热点的运营商便潜伏在您的流量路径中。英国国家网络安全中心关于缩小受攻击面的指南 对此明确指出：任何人都可以搭建接入点，因此公共 WiFi 并不安全。
强制门户窗口期。公共网络通常使用登录页面，并且在运行任何 VPN 之前，设备会直接与本地服务通信。这就留下了一个暴露窗口期，网络或网络上的其他用户可以在此期间针对该设备发起攻击。
凭据收割页面。某些门户索取的信息超出了其所需。电子邮箱地址是一回事；但如果在略显异常的页面上索取密码、卡号或帐户登录信息，这其实就是披着强制门户外衣的网络钓鱼。
重定向。被篡改的 DNS 响应可能会将访问银行地址的请求发送到仿冒网站。正如同一份 NCSC 指南所指出的，HTTPS 可以保护配置正确的应用程序，但它无法阻止虚假门户、被篡改的查找请求、针对未打补丁软件的漏洞利用，也无法阻止旁观者监控您访问了哪些网站。
加密与身份验证解析
有两个不同的概念常被归于“WiFi 安全”这一名下，而混淆它们正是大多数困惑的根源。加密好比一个密封的信封：走廊里的任何人都无法阅读里面的信件。身份验证则是快递员的身份凭证：它能告诉您是谁在处理投递，以及对方是否正如其声称的那样可靠。
挂锁图标只能提供前者，无法提供后者。因此，场馆即便运行完全加密的网络，您也依然无法确定其归属者。
| 连接类型 | 所保护的内容 | 未保护的内容 | 结论 |
|---|---|---|---|
| 开放网络，无密码 | 网络链路上的任何内容均不受保护 | 通过链路发送的所有内容 | 任何敏感操作均应避免使用 |
| WEP 保护的网络 | 可被破解的脆弱旧式加密 | 几乎所有内容 | 避免使用 |
| 采用共享密码的 WPA2-Personal | 对外部人员加密流量 | 其他知晓密码的人员；热点运营方身份凭证 | 仅限低风险浏览 |
| WPA2 或 WPA3 Enterprise，或 Passpoint | 基于每位用户的身份验证和加密 | 取决于运营商的配置及您的证书检查机制 | 更优；需核验网络身份 |
| 网站或应用上的 HTTPS | 加密您与该服务之间的数据 | 伪造门户、DNS 劫持、设备入侵、可见的站点名称 | 必不可少，但单独使用并不充分 |
| 连接至受信任端点的 VPN | 对穿过本地网络之外的整个隧道进行加密 | 设备入侵；对 VPN 供应商的信任风险 | 适合敏感用途的高安全性选择 |
挂锁图标究竟能证明什么
锁形图标只回答了一个问题：我的浏览器与其证书中指明的服务器之间的通信是否私密？这确实非常重要，也是为什么在陌生网络上进行大多数日常浏览通常都没问题的原因。但它并没有说明底层网络的情况，也没有说明您访问的网站是否正是您原本想要访问的网站。
英国国家网络安全中心（NCSC）的小型企业指南 明确指出了身份验证方面的漏洞：用户很难查明是谁控制着热点，也无法证实该热点确实归属于预期的酒店、咖啡馆或场所。因此，“恶魔孪生”（Evil Twin）网络与弱加密是两个完全不同的问题，因为攻击者掌控的是整个传输路径，而不仅仅是进行窃听。
挂锁图标仅证明与某个服务的通信是私密的。它丝毫不能说明承载该通信的网络是否安全。
WPA2、WPA3 与 Passpoint 的区别
在设备支持的情况下，WPA3 比 WPA2 更加安全；而借助 WPA-Enterprise 或 Passpoint 提供的单用户凭证能够进一步改善这种局面，因为单个账户可以被撤销，且网络身份也可以得到验证。关于这些单用户登录如何在真实硬件上运作的机制，我们的 WPA Enterprise 身份验证 指南详细介绍了相关配置流程。
对访客而言，问题在于可见性。您通常看不到场所运行的是哪种模式，这就是为什么上表中的结论列比协议名称更为重要。与墙上的任何警告海报相比，为个人发放独立凭据而非使用单一共享密码的场所能提供更进一步的保障。
公共 WiFi 风险在实际中的体现
假设一名通勤者在乘坐 08:10 的车次前买了一杯咖啡，看到了一个以该连锁店命名的网络，便不假思索地连了上去。同样的情况也发生在酒店大堂、酒吧露台、机场登机口和医院候诊室。场所名称让人觉得是一种保障，但柜台后几乎没有任何人能告诉您该连接受到怎样的保护。
这一习惯在数据中得到了清晰体现。一项针对 使用公共 WiFi 的英国成年人开展的 2012 年 YouGov 民调 发现，56% 的人在连接前从不或很少检查网络是否加密。高风险行为已屡见不鲜：在公共网络上，45% 的人登录过电子邮件，37% 的人访问过 Facebook，14% 的人使用过网上银行，还有 15% 的人输入过信用卡或借记卡信息。
| 来源 | 指标 | 结果 |
|---|---|---|
| YouGov，2012 年 | 连接前从不或极少检查加密情况 | 56% |
| YouGov，2012 年 | 在公共 WiFi 上登录电子邮件 | 45% |
| YouGov，2012 年 | 在公共 WiFi 上访问 Facebook | 37% |
| YouGov，2012 年 | 在公共 WiFi 上使用网上银行 | 14% |
| YouGov，2012 年 | 在公共 WiFi 上输入银行卡信息 | 15% |
| Norton，2024 年 | 在公共 WiFi 上登录个人电子邮件 | 64% |
鉴于 2012 年的这项民调距今已超过十年，应将其视为一种趋势模式而非当前的实际比例。然而这一趋势并未改变。据 Focus on Travel News 报道的 Norton 研究 显示，2024 年，64% 的受访英国用户表示曾通过公共 WiFi 登录个人电子邮件账户。尽管提供网络的场所成倍增加，但这种行为模式几乎未见变化。
部分原因在于没有人会在使用现场解释相关的配置。对于大多数访客而言，强制门户 是场所向他们展示的唯一安全提示，而它通常只会索取电子邮箱地址，对加密或身份验证闭口不提。
风险最高的时刻往往是那些看似平常的操作：在喝咖啡休息时查看余额、批准工作帐户的登录提示、使用保存的卡购买火车票。提前确定好你会在他人的网络上进行哪些操作，这样常规操作就不再需要临场判断了。
在公共 WiFi 上做出明智判断并保护自身安全
从决策规则开始，其余一切都会迎刃而解。在无法验证的网络上，对于任何涉及资金、身份、工作系统或帐户变更的操作，请使用移动数据网络或 VPN。浏览公开的 HTTPS 页面没有问题。但登录正是人们容易中招的地方。
下方的信息图将其简化为三个步骤。
七个步骤及其对应原因
- 向工作人员确认确切的网络名称。 流氓热点会仿造场所名称，因此请在前台询问，并忽略重名或与官方名称仅差一个字符的网络。
- 关闭自动加入和文件共享，并在使用后忽略该网络。 记住网络的设备在您下次光顾时很容易重新连接到仿冒网络。
- 使用移动数据处理资金交易。 银行、刷卡支付和管理控制台是路径攻击者获利最多的地方，开启手机热点共享的成本远低于账户被盗的代价。
- 输入任何内容前先检查是否有 HTTPS，切勿点击跳过证书警告。 出现警告是因为证书与您请求的网站不匹配，此时应立即停止操作。
- 遇到索要密码、卡号或账户登录信息的门户应立即退出。 强制门户最多只需要电子邮件地址。除此之外的任何要求都属于数据收集或网络钓鱼。
- 登录前先开启信誉良好的 VPN，并在设备允许的情况下保持常开状态，确保在首个凭据发出之前隧道就已建立。
- 更新操作系统、浏览器和应用程序，并针对电子邮件和网上银行开启双重身份验证。 针对未打补丁的软件发起攻击是入侵共享网络中设备最常用的途径。
如果最简单的解决办法是彻底避开场所 WiFi，那么了解旅行时的相应成本会很有帮助。这份关于 随身 WiFi 与 eSIM 方案 的对比权衡了使用独立设备与使用手机自带流量套餐的优缺点。
合上笔记本电脑前的检查项
退出您打开的所有内容，清除浏览器中保存的会话，并在 WiFi 设置中确认该网络不再自动加入。如果您使用过索取个人信息的门户，请记下您提供了哪些信息。这种习惯可以避免单次决定变成设备持续默认采用的设置。
保护场所和工作空间免受公共 WiFi 风险
张贴公布的 WiFi 密码只是一张入场券，而非身份凭据。它只负责决定谁能进门，随后便不再起任何作用。英国政府关于 共享工作场所无线网络指南 明确阐述了其中的原因：WPA2-Personal 采用通用的预共享密钥，一旦密码短语公开，它在客户端之间便无法提供额外的安全保障，因为用户可以推导出单个客户端的加密密钥。
在酒店、诊所、共享办公空间或学生公寓中，这意味着一位访客可以访问另一位访客的设备。拥有八位顾客的咖啡厅是该问题的一个轻微版本。而一栋拥有 300 名住户且使用同一个 SSID 的住宅楼，则是该问题在大规模场景下的体现。
场馆网络需要改进的方面
- 隔离访客、员工和租户网络。隔离可以限制受感染笔记本电脑能够触及的范围，这正是运行多个 SSID 的核心意义所在。
- 启用客户端隔离并阻止横向访问。防火墙规则以及最低权限 VLAN 或策略分段能够阻止访客之间的流量，无需依赖任何人的自觉行为。
- 使用基于 AES 的 WPA2 或 WPA3 并采用随机生成的长密钥，且让每个 SSID 保持单一的安全级别，以便设备协商保持一致。
- 公布准确的 SSID 及验证方式，并监控冒充场地的未授权接入点。
- 用基于身份的访问取代共享密码短语，使每个人或每台设备都单独进行身份验证，并可在人员离职当天撤销访问权限。
最后一点正是基于身份的 WiFi 发挥价值之处。我们的员工 WiFi 使用受管 EAP-TLS 证书为员工设备办理入网，因此无需轮换共享密码，并且每次身份验证都会记录用户、设备、时间和位置。它可以在场所现有的接入点上运行，支持的硬件包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。有关分段和监控的更广泛控制措施，我们的 企业级 WiFi 安全指南 详细介绍了相关架构。
本周需采取的三项行动
- 对照风险表审视自己的连接习惯，并记下过去一个月中您在他人的网络上进行过哪些登录操作。
- 检查访客网络与员工网络是否完全隔离，而不是同一扁平子网中共用一个密码的两个名称。
- 询问您的网络提供商员工设备上使用的是哪种身份验证方法，以及是否能在数分钟内撤销个人访问权限，而无需等到下一次密码更改。
Purple 用基于身份的 WiFi 取代共享密码：访客通过电子邮件进行一次身份验证，即可从第一个数据包开始获得加密连接（包括再次访问时），而员工设备则使用绑定到 Entra ID、Google Workspace 或 Okta 的证书进行连接。如果您经营酒店、诊所、购物中心或住宅楼，但仍将同一个密码印在墙上供所有人使用，那么这就是下一步值得调整的安全控制措施。请访问 Purple，了解如何在您现有的接入点上设置访客网络、员工网络和多租户网络。
