Como Proteger os Seus Dados em Wi-Fi Público

Por isso, os dados que circulam sem proteção nessa rede estão, em princípio, disponíveis para interceção por qualquer outra pessoa na mesma rede. A seguir: de onde vem este risco, em que diferem o WPA2 e o WPA3, e o que pode fazer em poucos minutos para o reduzir.

Por que o Wi-Fi público é uma categoria de risco à parte

Uma rede doméstica ou de escritório tem normalmente um proprietário conhecido e uma senha que não é distribuída a estranhos. Num café ou num aeroporto, dezenas de dispositivos desconhecidos ligam-se ao mesmo ponto de acesso ao mesmo tempo, e o próprio ponto de acesso pode ter sido configurado por qualquer pessoa. Isto dá origem a três cenários comuns:

• Interceção de tráfego (packet sniffing). Se a rede é aberta ou usa uma senha partilhada por todos sem criptografia adicional a nível de sessão, qualquer outro participante dessa rede pode, tecnicamente, analisar o tráfego de outra pessoa com as ferramentas certas.
• Pontos de acesso fraudulentos. Um atacante configura a sua própria rede com um nome semelhante — por exemplo, "Free_Airport_Wifi" em vez do nome oficial do local — e encaminha por si mesmo todo o tráfego dos dispositivos ligados.
• Ataques man-in-the-middle (MITM). O dispositivo de um atacante posiciona-se entre si e o ponto de acesso real e pode alterar o conteúdo de páginas não criptografadas ou redirecioná-lo para formulários de login falsos.

Nenhum destes cenários exige que o atacante tenha qualquer acesso especial ao equipamento do próprio local — estar na mesma rede pública já é suficiente.

WPA2 vs. WPA3: o que mudou para redes partilhadas

O WPA2 tem sido o padrão Wi-Fi durante anos, mas tem limitações especificamente no contexto de redes partilhadas: a senha é a mesma para todos, o que significa que, dadas condições favoráveis para capturar o handshake, alguém que a conheça poderia, em teoria, tentar descriptografar o tráfego de outras pessoas na mesma rede. O WPA3 fecha parte dessa lacuna — segundo um relatório técnico da Agência de Segurança Nacional dos EUA (NSA) sobre o WPA3, o novo padrão usa o protocolo SAE em vez da troca de chaves do WPA2, o que torna mais difícil adivinhar a senha offline, e adiciona sigilo perfeito direto (forward secrecy): cada sessão recebe a sua própria chave única, pelo que uma senha comprometida mais tarde não pode ser usada para descriptografar tráfego capturado anteriormente. Uma funcionalidade separada do WPA3, o Enhanced Open (OWE), criptografa o canal entre um dispositivo e o ponto de acesso mesmo em redes totalmente abertas e sem senha nenhuma — algo que o WPA2 simplesmente não conseguia fazer.

Um aviso importante: muitos routers públicos em cafés e hotéis ainda usam WPA2 ou nenhuma criptografia, e o suporte para Enhanced Open está a ser implementado de forma desigual entre os fabricantes de pontos de acesso. Por isso, não deve confiar apenas no padrão de criptografia da própria rede — os passos abaixo funcionam independentemente do padrão Wi-Fi que um determinado local utilize.

Lista de verificação: o que fazer antes e durante uma ligação

Cada item demora menos de cinco minutos e não exige conhecimentos especiais.

1. Desative a ligação automática a redes abertas. As definições de Wi-Fi do seu telefone e do seu computador portátil têm uma opção do tipo "ligar automaticamente a redes abertas" — desative-a para que o seu dispositivo não se ligue a pontos de acesso aleatórios sem o seu conhecimento.
2. Confirme o nome exato da rede com os funcionários. Os pontos de acesso fraudulentos têm muitas vezes um nome quase idêntico ao real, com um pequeno erro de escrita ou uma palavra extra.
3. Desative a partilha de ficheiros e pastas. Enquanto estiver numa rede pública, desative a partilha de ficheiros, a partilha de impressoras e o AirDrop/"partilha nas proximidades" — estas funcionalidades destinam-se a redes de confiança.
4. Verifique se há HTTPS. O ícone de cadeado e um endereço https:// significam que o conteúdo dessa página específica está criptografado entre o seu navegador e o site, mas isso não protege a rede em si — a ligação ainda pode ser analisada a nível de metadados, e os pedidos DNS ainda podem ser interceptados ou falsificados.
5. Use um túnel criptografado para todo o tráfego do seu dispositivo, não apenas o do navegador — mais sobre isto na secção seguinte.
6. Ative a autenticação de dois fatores nas contas mais importantes. Se uma senha for interceptada ou capturada através de um formulário de phishing, o segundo fator impede que alguém entre na sua conta a partir de outro dispositivo.
7. "Esqueça" a rede depois de terminar. Isto impede que o seu dispositivo se volte a ligar automaticamente a ela da próxima vez que estiver nas proximidades.

Como a criptografia do tráfego complementa a segurança da rede

Mesmo que o próprio ponto de acesso use um padrão desatualizado ou não criptografe o canal, ainda pode corrigir a situação a nível do dispositivo. Uma aplicação que estabeleça um túnel criptografado entre o seu dispositivo e um servidor remoto envolve todo o seu tráfego nesse túnel — não só o do navegador, mas também o de todas as outras aplicações. Para um observador externo na mesma rede pública, tudo o que é visível é um fluxo de dados criptografado, sem forma de ler o seu conteúdo ou de o alterar em trânsito. Para uma análise técnica mais detalhada de como funciona a criptografia do tráfego, veja um artigo dedicado — "O que é, em termos simples, a criptografia do tráfego de internet".

Na prática, isso significa que ter à mão uma aplicação que criptografe a sua ligação e que se ative com um único toque nas definições é um bom hábito para lidar com redes desconhecidas. A HamikVPN é uma dessas ferramentas: criptografa a ligação no seu telefone e computador e liga-se com um toque; há aplicações para várias plataformas disponíveis na página de downloads.

Uma nota sobre o Android

No Android 10 e versões posteriores, o sistema usa por defeito um endereço MAC aleatório para cada rede guardada — como descrito na documentação oficial do Android Open Source Project. A aleatorização torna mais difícil seguir o mesmo dispositivo em diferentes redes públicas, mas não protege o conteúdo do seu tráfego — essa é uma tarefa separada, tratada pela criptografia a nível da aplicação, e não pelo identificador do adaptador de rede. Uma lista mais completa de definições para a proteção diária do Android está na nossa lista de verificação de segurança para Android, e os requisitos e funcionalidades de uma aplicação VPN móvel para Android são abordados numa página dedicada.

O que mais vale a pena verificar

O Wi-Fi público é apenas um dos canais através dos quais os dados pessoais podem ser expostos. Vale também a pena rever as boas práticas gerais de higiene digital: use senhas diferentes para serviços diferentes, guarde-as num gestor de senhas em vez de em notas, e ative a autenticação de dois fatores — porque é importante e como configurá-la está explicado no nosso artigo sobre autenticação de dois fatores. Se viaja com frequência, também vale a pena ter à mão uma lista de verificação mais abrangente — por exemplo, a nossa lista rápida de segurança para viagens.