Zo ga je veilig online op een openbaar wifi-netwerk

Door: Ignace de Groot | 11 maart 2016 07:03

How To

Inhoudsopgave

  1. Inleiding
  2. pagina 2

Onderweg of op reis willen we vaak graag het internet. Een openbaar netwerk is dan natuurlijk erg handig, want het is gratis en makkelijk te vinden. Maar daar hangen ook risico's aan vast. Hoe zit dat precies en vooral: hoe wapen je jezelf hiertegen?

Wist je dat anderen die op hetzelfde wifi-netwerk als jij zitten, kunnen meekijken met al jouw onversleutelde dataverkeer (browsergegevens, chats, mailtjes en meer)? Dit geldt voor openbare netwerken, maar ook netwerken die beveiligd zijn met een wachtwoord. Dat is een risico waar je rekening mee moet houden. Wat hierbij ook belangrijk is om je te realiseren, is dat jouw mobiele apparaat een lijst van bekende netwerken heeft, waar hij automatisch mee verbindt zodra hij ze ziet (indien je dit niet gewijzigd hebt in de instellingen). Ben je dus bijvoorbeeld in de buurt van een 'Wifi in de trein'-netwerk, dan verbindt je apparaat zonder dat jij het je beseft en begint je toestel gegevens te verzenden. En die zijn dus zó door anderen uit te lezen. Lees ook: 5 onmisbare tools voor je wifi-netwerk.

'Honey-spot'

Daar eindigt het gevaar jammer genoeg niet bij. Stel, je verbindt je met het netwerk 'Starbucks'. Hoe weet je dan zeker dat een hacker in de onmiddellijke omgeving niet een eigen mobiele hotspot op heeft opgezet met dezelfde naam (een 'hotspot honeypot')? Een eerste stap in je verweer zou dus kunnen zijn dat je bij de eigenaar van de hotspot even navraagt wat de exacte naam, het IP-adresbereik en eventueel het MAC-adres van het accesspoint zijn. Maar realistisch is dat niet, want dan moet je zelf de moeite doen om die adressen te checken op je eigen toestel (nog los van de vraag of de eigenaar je de gevraagde informatie wil of kan geven).

Bovendien valt het niet helemaal uit te sluiten dat de router van het legitieme draadloze netwerk is gehackt en dat de hacker bijvoorbeeld de DNS-configuratie heeft aangepast. Zo kan het zijn dat je automatisch naar een nagemaakte inlogpagina (captive portal) van bijvoorbeeld Starbucks of een aanmeldpagina van Facebook wordt geleid, zodat je je login-ID aan de hacker prijsgeeft. We raden je daarom aan zo veel mogelijk met tweefactor-authenticatie te werken, zodat je naast een wachtwoord bijvoorbeeld ook een sms-code moet invullen.

Tweefactor-authenticatie: een extra barrière voor hackers.

Hacktool

Wie dacht dat je een doorgewinterde hacker moest zijn om data over een draadloos netwerk te kunnen onderscheppen, heeft nog niet van de WiFi Pineapple gehoord. Dit apparaat (circa 100 euro) maakt het via een grafische interface wel erg makkelijk om een hotspot honeypot op te zetten, waarbij de hacker zich als een man-in-the-middel kan opwerpen, en met behulp van zogenoemde SSL-stripping zelfs data van https-verbindingen tussen je eigen apparaat en de beoogde webserver kan onderscheppen. Dergelijke toestellen en technieken maken het gebruik van VPN voor meer 'delicate' sessies over een (publiek) draadloos netwerk alleen maar dwingender.

Met een toestel als de WiFi Pineapple is een hack zo opgezet.

Beveiligingssoftware

Het kan echter ook gebeuren dat de hacker malware in zo'n webpagina stopt, die dan automatisch mee naar je toestel wordt geüpload. Om dus het risico op exploits en malware te verkleinen, is het verstandig om op je Windows-laptop beveiligingssoftware te installeren, zoals een firewall en een antimalwaretool. Houd je systeemsoftware ook goed up-to-date, maar let er wel op die updates nooit op een publiek wifinetwerk uit te voeren: het zou weleens malware kunnen wezen!

Versleuteling

Je doet er bovendien verstandig aan zo veel mogelijk van versleutelde communicatie gebruik te maken. Heel wat sites bieden hiervoor een https-verbinding aan, waaronder Facebook, Google en Twitter: let dan goed op het hangslotje nabij de url in de browser. Je kunt ook overwegen de browserextensie HTTPS Everywhere te installeren, die je browser dwingt waar mogelijk zo'n beveiligde https-connectie te gebruiken. Ook voor e-mail kun je een beveiligde verbinding instellen als je provider dat ondersteunt. Zowel bij POP3/IMAP als SMTP vind je gewoonlijk de beveiligingsprotocollen SSL/TLS en STARTTLS terug. Kies in dit geval echter niet de types waar Alle certificaten accepteren bij staat. Mocht je ooit de melding krijgen dat het om een ongeldig certificaat gaat, wees dan extra alert. Verder: gebruik voor online banking bij voorkeur ook de bijhorende bank-app in plaats van je browser.