公共 Wi-Fi 到底还有哪些真实风险

「公共 Wi-Fi 会被偷看」这句话，现在只对了一半。HTTPS 这几年基本普及到了每一个正常网站和 App,坐在同一个咖啡馆、蹭同一个机场 Wi-Fi 的人，就算真的用嗅探工具截到你的流量，拿到手的也是一堆加密后的乱码，读不出你在看什么、填了什么。

这不是说公共网络现在没有风险，而是风险换了位置。以前担心的是「内容被看到」,现在真正站得住的问题，是「这个网络本身是不是它看起来的那个」,以及域名解析这一层有没有被动手脚。这两类问题都不靠 HTTPS 挡，而且比内容泄露更难察觉——页面照样打开，图标照样是绿的。

真正还在起作用的那几类风险，靠的也不是什么高深的技术手段，大多是利用了人的习惯——看到登录框就填、看到熟悉的名字就连、看到证书警告嫌麻烦就点掉。技术这边能做的事有限，剩下的一半始终要靠人自己多看一眼。

下面把公共 Wi-Fi 上还真实存在的风险，和已经被 HTTPS 基本解决的风险分开说清楚，再讲清楚哪些场景风险更高、该怎么应对，以及 VPN 又管不到哪一段。

HTTPS 普及之后，哪些担心可以放下了

十年前那种「公共 Wi-Fi 上随便就能截到密码」的场景，前提是网站本身不加密，内容用明文在网络里跑一圈。现在主流浏览器会主动标出没有 HTTPS 的网站，搜索引擎的排名也会照顾加密站点，结果是你平时会用到的网站和 App,内容这一段基本都已经加密。

也就是说，单纯「监听流量」这条路，对一个正常使用 HTTPS 的网站已经基本走不通了。同一网络里的人能看到你连了哪个地址、传了多少数据，但看不到里面具体的内容。这部分风险，可以从担心清单里划掉。

还站得住的几种真实风险

划掉内容泄露之后，剩下的风险不是变少了，而是变得更精准了。

假热点冒充真实网络

伪造一个和店里同名、信号还更强的 Wi-Fi,是成本最低的攻击方式。连上以后，所有流量先经过对方的设备再转发出去——这一步不需要破解任何密码，只需要你选错一个名字相近的网络。有些假热点甚至不拦截任何东西，只是安静地转发，目的只是让你的设备信任它，方便后面在 DNS 或者登录页这两步动手。

强制登录页当场要密码

机场、酒店常见的「先登录门户页才能上网」设计本身没问题，但它教会了所有人一个习惯：看到网页弹出登录框就顺手填。假的门户页利用的正是这个习惯，伪装成运营商的登录页，直接问你要账号密码——这个信息不需要监听，是你自己填进去的。而且这类页面通常做得很像真的,logo、配色都会照抄一遍，单靠「看起来正不正规」很难分辨。

DNS 解析被动手脚

内容加密了，域名解析这一步很多时候还是明文完成的。做了手脚的网关可以在这一步把你的域名请求指向它安排好的地址，而不是真正的目标网站。这也是为什么「内容加密」不等于「整段路径都安全」,DNS 泄漏讲的正是这一层的问题。

证书警告被顺手点掉

浏览器弹出「此连接的证书不受信任」,大多数人的反应是点「继续访问」,因为着急上网。这个警告本来是用来提示中间可能有人插了一层设备的，一旦养成无脑点掉的习惯，警告能起到的作用就基本归零了。

哪些场景风险更高一些

不是所有公共网络的风险都一样高。人流量大、设备来来去去、管理相对松散的场地，风险会明显更高一些：

• 机场候机区——人多，热点密集，假热点混在真热点里很难第一时间分辨
• 大型会展、临时活动场地——网络往往是临时架设的，员工自己也说不清准确名称
• 连锁酒店的公共区域——大堂和客房用的经常是两套不同的网络，门户页样式却很相似
• 陌生城市的连锁咖啡馆——名字全国统一，伪造起来最省事

反过来，自己公司、学校这类长期使用、有固定管理员的网络，风险会低很多，值得放心处理一部分之前不敢做的操作。判断的关键不是「这个地方看起来高档不高档」,而是「这套网络有没有一个说得清楚、能负责的管理者」——五星级酒店的公共 Wi-Fi 不见得比小餐馆的更安全，后者往往只有一个路由器，反而更容易看清楚问题出在哪。

连接前后，这几步值得做

跟店员核实准确的网络名称，尤其是看到两个几乎一样的名字同时出现的时候。信号更强、不需要密码的那个，反而更值得怀疑。

如果门户页问的信息超出「确认上网」的范围，比如要邮箱密码、银行卡信息，直接关掉换一个网络——正常的门户页不会问到这些。

看到证书不受信任的提示，先换一个网络试试看，同一个网站在别的网络下是不是也弹同样的警告。只在一个特定网络下出现的证书问题，基本可以确定是这个网络的问题，不是网站的问题。

只加密内容、DNS 还走本地解析的方案只解决了一半问题。选一个连接时会接管 DNS 的工具，让域名解析和内容走同一条加密路径，不给中间的网关留下动手脚的空间。

登录网银、修改密码这类操作，能等的话就等确认信任的网络再做，不必在刚连上、还没验证过的公共网络里立刻处理。如果中途断线又重新弹出登录框，先看看是不是断线保护那种情况，而不是直接在弹窗里填信息。

公共 Wi-Fi 上,VPN 防不住什么

VPN 能做的是把流量和域名解析一起放进加密隧道，让同一网络里的人看不到内容，也很难靠冒充网关篡改域名。这解决的是「网络路径」这一层的问题。

它解决不了的是你自己做出的选择。假的登录门户页问你要密码，你填了，这个信息是自己交出去的，和流量有没有加密没有关系；设备本身如果已经中了木马,VPN 也不会替你清理；证书警告要不要点掉，决定权也一直在你自己手上，工具只能把警告显示出来，不能替你做判断。

换个说法可能更好理解:VPN 保护的是「数据在路上会不会被看到、被改」,不保护「你在某个页面上主动做了什么」。公共网络的风险，一部分确实在网络层面，另一部分始终是这类「这一步该不该做」的判断，后者没有工具能完全替你做。

总结

HTTPS 已经解决了公共 Wi-Fi 上最老的问题——内容被偷看。真正还站得住的，是假热点、登录门户页里的钓鱼、DNS 层的手脚，还有被顺手点掉的证书警告，这四类都不靠内容加密挡住，靠的是网络路径本身干不干净，以及你在关键页面上停不停下来多看一眼。

日常做法不复杂：核实网络名称，登录页只用来登录，证书警告别顺手点过去，敏感操作留到确认过的网络。快橙连接时会把 DNS 一起接管，配合安全说明里写的加密方式，能把网络路径这一层的风险降到很低——但门户页里该不该填密码，证书警告要不要点掉，还是要靠你自己判断。注册后每天都有免费时长，想先试试看，了解详情。