Wi-Fi pubblico: cosa vede davvero chi è sulla tua stessa rete

Ti siedi al bar, ti colleghi al Wi-Fi gratuito e apri l'app della banca. Chi altro è connesso a quella rete può vedere cosa fai? La risposta breve: molto meno di quanto temi: ma solo se comprendi perché. Una rete Wi-Fi aperta è come una piazza affollata. Se parli ad alta voce, chiunque intorno può sentirti. Ma se tu e il tuo interlocutore parlate in una lingua segreta, gli altri sentono i suoni e non capiscono nulla. Sul web quella lingua segreta si chiama TLS.

1. Le due minacce: sniffing e man-in-the-middle

Sniffing: su una rete condivisa qualcuno può «ascoltare» i pacchetti di dati che viaggiano. Se il traffico non è cifrato, possono essere letti in chiaro, password e messaggi compresi.

Man-in-the-middle (MITM): è il passo successivo. L'attaccante non si limita ad ascoltare, si mette in mezzo tra te e il sito, potendo leggere e modificare ciò che passa.

Fonte: MDN Web Docs: «Transport Layer Security (TLS)»: HTTPS è la difesa contro l'attacco manipulator-in-the-middle.

2. TLS/HTTPS: lo scudo che rende il Wi-Fi pubblico (di solito) sicuro

Oggi quasi tutti i siti usano https://, cioè HTTP dentro TLS. TLS cifra i dati mentre viaggiano su una rete: chi fa sniffing vede solo byte illeggibili. Offre tre garanzie: cifratura (nessuno legge il contenuto), integrità (nessuno lo altera di nascosto) e autenticazione (il sito dimostra di essere davvero lui, con un certificato). Per questo la FTC (Federal Trade Commission) ricorda: oggi, grazie alla diffusione della cifratura, connettersi a un Wi-Fi pubblico è di solito sicuro.

Cosa resta visibile? Il contenuto (password, messaggi) è protetto; ciò che un osservatore può ancora intuire è più o meno quale sito stai contattando, non cosa scrivi o leggi.

Attenzione a un equivoco (FTC): il lucchetto dice che la connessione è cifrata, non che il sito è onesto. Anche un sito-truffa può avere HTTPS. Cifratura non significa sito legittimo.

Fonte: FTC: «Are Public Wi-Fi Networks Safe?» (consumer.ftc.gov).

3. VPN: quando serve davvero

Una VPN cifra tutto il traffico tra il tuo dispositivo e il server della VPN (non solo quello dei siti HTTPS). È utile proprio sulle reti non fidate. Ma c'è un rovescio della medaglia: sposti la fiducia dal Wi-Fi del bar al fornitore della VPN. Scegline uno affidabile: una «VPN gratis» può essere peggio del problema che risolve.

4. Captive portal e rogue access point: le trappole della connessione

Captive portal: è la pagina che compare quando ti colleghi (accetta i termini, inserisci l'email). È un meccanismo legittimo: l'IETF lo descrive nella RFC 8952: la rete ti tiene «in cattività» finché non soddisfi le condizioni. Il rischio: non inserire mai password vere di altri tuoi account in un captive portal, potrebbe essere fasullo.

Rogue access point ed «evil twin»: un attaccante crea una rete-esca con un nome credibile (per esempio «Free Airport WiFi»), magari con segnale più forte, per farti collegare alla sua invece che a quella vera. Una volta dentro, è nella posizione perfetta per il man-in-the-middle. Non è teoria: nel 2024 in Australia un uomo è stato incriminato per aver gestito reti Wi-Fi false sugli aerei allo scopo di rubare credenziali.In sintesi: le buone abitudini

• Controlla il lucchetto e https:// prima di inserire dati; fai logout dagli account quando hai finito e tieni attiva la 2FA.
• Disattiva la connessione automatica al Wi-Fi e non collegarti a reti sconosciute; conferma il nome esatto della rete con lo staff del locale.
• Per i dati davvero sensibili su reti non fidate, usa una VPN affidabile; in alternativa.

Il Wi-Fi pubblico non è più il mostro di una volta: il merito è di TLS, che oggi protegge quasi tutto il traffico. Il tuo compito è semplice: controlla il lucchetto, diffida dei nomi troppo comodi e, per i dati sensibili, aggiungi il tunnel di una VPN affidabile.