Är den där Wi-Fi-inloggningssidan äkta? Kontrollera innan du skriver ett lösenord

Du ansluter till ställets Wi-Fi, en sida öppnas och den ber dig logga in med en e-postadress eller ett företagskonto. Nätverksnamnet stämmer med det som receptionen sa, och logotypen ser rätt ut. Inget av det är bevis, eftersom båda kan kopieras på en eftermiddag. Bekräfta inloggningssättet via en källa som inte är sidan framför dig innan du skriver något.

Börja med instruktionerna, inte med sidan

Det är hela metoden: verifiera via en oberoende kanal och bestäm sedan. Allt nedan är vad du ska jämföra och vad du ska avvisa.

Det låter långsamt, och det tar ungefär två minuter när du har gjort det två gånger.

Läs domänen, inte designen

Fråga stället hur gästtillgången fungerar, eller läs kortet, kvittot eller bekräftelsemejlet som kom med bokningen. Jämför inloggningsdomänen och informationen som efterfrågas med de instruktionerna. Ställen använder faktiskt externa portaltjänster, så en okänd domän kräver verifiering och inte ett automatiskt antagande åt något håll. En domän som stämmer med instruktionerna är inte bevis på säkerhet, men en avvikelse är skäl att stanna.

Titta på adressfältet i stället för sidans layout. Ett hänglås säger bara att anslutningen till värden är krypterad; det säger inget om huruvida värden är den som stället avsåg.

En HTTPS-varning är ett stopptecken, inte något man klickar sig förbi.

Läs vad sidan frågar efter

En Wi-Fi-åtkomstsida har en smal uppgift: att ta emot ett rumsnummer, en värdekod, en e-postadress eller en kryssruta för villkoren. Den har ingen anledning att be om din privata VPN-nyckel, ditt arbetslösenord, dina återställningskoder eller ett betalkort för ett gratis nätverk. Det hör till andra tjänster, och en sida som ber om det har redan berättat vad den är. Behandla själva begäran som den starkaste signal du får.

Vägra installera ett förtroendecertifikat eller ett hjälpprogram för att sidan säger att åtkomsten kräver det. Legitima hanterade krav kommer via din organisation, inte via en portaluppmaning.

Om sidan kräver något av de två, koppla från och använd ett annat nätverk.

Automatisk anslutning avgör vilket nätverk du är på

Ett sparat nätverksnamn kan ansluta automatiskt, vilket innebär att enheten kan vara på ett nätverk du inte medvetet valde just då. Kontrollera plattformens inställningar för automatisk anslutning och glöm nätverk du inte längre behöver. Den enda vanan tar bort det vanligaste sättet en efterliknad nätverk får en enhet att ansluta utan ett beslut. Den gör också SSID:t du är på till ett medvetet val i stället för en bakgrundshändelse.

Två nätverk med samma namn kan finnas på samma plats, och enheten väljer ett utan att fråga. Ditt minne av vilket du anslöt till är inte en tillförlitlig registrering.

Verifiera nätverket du faktiskt är ansluten till, inte det du tänkte ansluta till.

VPN täcker inte det här steget

Ett VPN behöver åtkomstvägen innan det kan ansluta, så portalen sker innan tunneln finns. Den ordningen innebär att portalen inte kan göras tillförlitlig av VPN:et, och att VPN:et inte i efterhand kan skydda uppgifter du redan har gett till en falsk sida. Anslut tunneln efter att portalen är verifierad och nätverket är tillförlitligt nog att använda. Behandla de två stegen som separata beslut med separata bevis.

Om sidan är verifierad och tunneln fortfarande misslyckas är det ett nätverksproblem och det hör till en annan checklista.

Om du redan har skrivit ett arbetslösenord på en sida du nu tvivlar på, ändra det från en känt bra anslutning och berätta för din administratör vad som hände. Här väger snabbhet tyngre än säkerhet.

Arkitekturen för captive-portalen som beskrivs i RFC 8952 är värd en läsning, eftersom den förklarar varför portalen ligger utanför varje tunnel du senare bygger. Den kunskapen gör en misstänkt sida till ett beslut i stället för en gissning.