ה-VPN בבית הקפה לא מגן על החשבון שלכם

בקצרה: VPN מצפין את התעבורה שלכם עד לשרת של הספק, אבל כמעט כל אתר שאתם פותחים ממילא מוצפן ב-HTTPS. הפריצות שקורות בפועל מגיעות מסיסמאות שדלפו, מהודעות פישינג וממכשירים לא מעודכנים, ובשלושת המקומות האלה VPN לא נוגע.

ההנחה הנפוצה נשמעת הגיונית: מתחברים ל-Wi-Fi של בית קפה, מדליקים VPN, ואפשר לנהל חשבון בנק בשקט. חצי מזה מדויק. ההצפנה באמת מסתירה את התעבורה מהאדם שיושב שולחן אחד מכם, רק שאותו אדם כבר מזמן לא הבעיה המרכזית.

קראו גם: הסיסמה החזקה שלכם כבר דלפה, והתוקף פשוט מתחבר איתה · יש לכם גיבוי? השאלה האמיתית היא מתי בדקתם שהוא נפתח · הסיסמה החזקה כבר לא שומרת עליכם: אימות דו-שלבי הוא הקו האמיתי

מה VPN עושה, ובמה הוא לא נוגע

VPN בונה מנהרה מוצפנת בין המכשיר שלכם לשרת של הספק. מי שמאזין לרשת המקומית רואה רעש. זה הכל.

ברגע שהתעבורה יוצאת מהשרת היא ממשיכה לאינטרנט כרגיל. סיסמה שהקלדתם בעמוד מזויף תגיע לתוקף בין אם ה-VPN דלוק ובין אם לא. קובץ נגוע יירד באותה מהירות. VPN מחליף את הצד שאתם סומכים עליו, הוא לא מוסיף בדיקת זהות ולא בודק לאן אתם מקלידים.

בפועל, אותו מנעול הקטן שליד שורת הכתובת עושה כבר את רוב העבודה שאנשים מייחסים ל-VPN. תקן ההצפנה בין הדפדפן לאתר הוא ברירת המחדל באינטרנט מאז 2018 בקירוב, ודפדפנים מסמנים אתר לא מוצפן כאזהרה.

הסיכון עבר מהרשת אל החשבון

תוקף שרוצה להיכנס לחשבון שלכם לא מנסה לפענח הצפנה. הוא לוקח סיסמה שדלפה בהדלפה קודמת ומנסה אותה בעשרות שירותים. זה זול, אוטומטי ועובד על כל מי שמשתמש באותה סיסמה בשני מקומות.

מכאן שהשקעה נכונה נראית אחרת לגמרי. אימות דו-שלבי חוסם בדיוק את התרחיש הזה, כי הסיסמה לבדה מפסיקה להספיק. מנהל סיסמאות פותר את הבעיה מהשורש, מפני שכל שירות מקבל מחרוזת אחרת שאף אדם לא זוכר בעל פה.

איום מול ההגנה שבאמת עוצרת אותו

מה מפחיד אנשים	מה מגן בפועל	VPN עוזר?
האזנה לרשת Wi-Fi ציבורית	HTTPS בדפדפן	שכבה נוספת, לרוב מיותרת
סיסמה שחוזרת בכמה שירותים	מנהל סיסמאות	לא
הודעת פישינג עם עמוד התחברות מזויף	אימות דו-שלבי, בדיקת הכתובת	לא
מערכת הפעלה בגרסה ישנה	עדכוני אבטחה	לא
ספק האינטרנט רואה אילו אתרים פתחתם	הסתרת יעד התעבורה	כן, זו המטרה המקורית

מה לעשות ברשת ציבורית, בלי דרמה

• כבו חיבור אוטומטי לרשתות פתוחות. הטלפון שלכם מתחבר לרשת בשם מוכר גם כשהיא מזויפת.
• העדיפו שיתוף אינטרנט מהטלפון על רשת פתוחה. חבילות הגלישה בישראל מאפשרות את זה בקלות.
• בדקו שהכתובת בשורה העליונה היא הדומיין האמיתי, לא וריאציה דומה שלו.
• הפעילו אימות דו-שלבי בדואר, בבנק וברשתות החברתיות. הדואר קודם, כי ממנו משחזרים כל השאר.
• התקינו עדכוני מערכת ביום שהם יוצאים. פרצה מתוקנת שלא עודכנה היא הדרך הזולה ביותר להיכנס למכשיר.

מתי VPN כן מחזיר את הכספים

יש מצבים שבהם התשלום מוצדק. גישה לשרת פנימי של החברה מחוץ למשרד עובדת דרך VPN ארגוני, וזה השימוש שלשמו הטכנולוגיה נבנתה. עיתונאי או עובד שמחובר מרשת שמסננת תוכן מקבל ערך אמיתי. מי שלא רוצה שספק האינטרנט ירכיב פרופיל גלישה מסחרי משלם על פרטיות, לא על אבטחה.

נקודה אחת לפני שקונים מנוי: ספק VPN חינמי רואה את כל מה שספק האינטרנט היה רואה, והוא מרוויח ממשהו. אם אין דמי מנוי, המידע הוא המוצר.

קחו חמש דקות עכשיו, הדליקו אימות דו-שלבי בתיבת הדואר הראשית שלכם ובדקו שהסיסמה שלה לא חוזרת באף שירות אחר. זה מגן עליכם יותר מכל מנוי VPN שתקנו החודש.

מידע נוסף על תקן ההצפנה בין הדפדפן לאתר זמין בערך HTTPS בוויקיפדיה.