Những mối nguy khi dùng Wi-Fi không mật khẩu ở ký túc xá

Wi-Fi ký túc xá không đặt mật khẩu có ba rủi ro chính: dữ liệu không được mã hóa ở tầng mạng không dây nên người cùng mạng có thể quan sát lưu lượng, kẻ gian dễ dựng điểm phát giả cùng tên để dụ bạn kết nối, và máy của bạn nằm chung mạng với hàng trăm thiết bị khác, một số có thể đã nhiễm mã độc. Tin tốt là phần lớn website và ứng dụng hiện nay dùng HTTPS, nên nếu bạn có vài thói quen đúng, rủi ro thực tế giảm đi rất nhiều.

Mạng mở khác mạng có mật khẩu thế nào

Với mạng có mật khẩu WPA2 hoặc WPA3, dữ liệu giữa thiết bị và bộ phát được mã hóa. Với mạng mở hoàn toàn, sóng Wi-Fi mang dữ liệu không mã hóa ở tầng không dây; ai trong phạm vi phủ sóng có công cụ phù hợp đều có thể bắt được gói tin. Lưu ý: một mật khẩu Wi-Fi dùng chung dán ở hành lang cũng không ngăn được người cùng mạng nhìn thấy nhau, nó chỉ ngăn người ngoài.

Nói cách khác, vấn đề của Wi-Fi ký túc xá không nằm ở chỗ có hay không có mật khẩu, mà ở chỗ bạn đang chia sẻ cùng một mạng cục bộ với rất nhiều người lạ, trên một hệ thống mà ít ai thực sự quản trị thường xuyên. Hiểu điều này giúp bạn chọn đúng biện pháp thay vì chỉ lo lắng chung chung.

Một số mạng mở mới dùng chuẩn OWE (Wi-Fi Enhanced Open) mã hóa dù không có mật khẩu, nhưng phần lớn ký túc xá vẫn dùng thiết bị cũ.

Những mối nguy cụ thể

Nghe lén lưu lượng không mã hóa

Trang web còn dùng HTTP, ứng dụng cũ, một số thiết bị IoT gửi dữ liệu không mã hóa. Trên mạng mở, nội dung này có thể bị đọc. Với HTTPS, người nghe lén vẫn thấy bạn kết nối tới tên miền nào nhưng không thấy nội dung.

Điểm phát giả mạo

Kẻ gian tạo một mạng tên "KTX_KhuB_Free" giống hệt mạng thật. Điện thoại có thể tự kết nối vì đã từng lưu tên đó. Khi đó toàn bộ lưu lượng đi qua máy kẻ gian, họ có thể đưa bạn đến trang đăng nhập giả của Wi-Fi hoặc của email trường.

Trang đăng nhập Wi-Fi giả

Nhiều ký túc xá có trang yêu cầu nhập mã sinh viên trước khi dùng mạng. Trang giả có thể yêu cầu cả mật khẩu email trường, đây là dạng lừa đảo đã gặp ở nhiều nơi.

Lây nhiễm giữa các máy cùng mạng

Nếu mạng không cách ly thiết bị (client isolation), máy bạn "nhìn thấy" máy của người khác. Một máy nhiễm sâu máy tính có thể dò tìm và tấn công những máy có cổng chia sẻ file mở hoặc chưa cập nhật bản vá.

Lộ thư mục chia sẻ

Windows hỏi bạn khi kết nối mạng mới là mạng riêng hay công cộng. Chọn nhầm "riêng tư" có thể khiến thư mục chia sẻ, máy in của bạn hiện ra với mọi người cùng mạng.

Thiết lập máy trước khi kết nối

1. Chọn hồ sơ mạng Công cộng trên Windows; trên macOS bật tường lửa trong phần Mạng.
2. Tắt chia sẻ file, máy in, AirDrop cho mọi người. Chỉ bật khi cần và tắt ngay sau đó.
3. Cập nhật hệ điều hành và trình duyệt. Phần lớn mã độc lây qua mạng khai thác lỗ hổng đã có bản vá.
4. Tắt tự động kết nối với mạng mở đã lưu, xóa các mạng cũ không dùng.
5. Bật chế độ chỉ dùng HTTPS trên trình duyệt.

Thói quen khi đang dùng mạng

• Kiểm tra biểu tượng ổ khóa và đúng tên miền trước khi đăng nhập bất cứ đâu.
• Nếu trình duyệt cảnh báo chứng chỉ không hợp lệ ở trang quen thuộc như email trường, ngân hàng, đừng bấm "tiếp tục". Đó có thể là dấu hiệu bị chặn giữa đường.
• Với giao dịch ngân hàng, nên dùng dữ liệu di động thay vì Wi-Fi chung.
• Không cài phần mềm "tăng tốc Wi-Fi" hay chứng chỉ do ai đó gửi tới.
• Bật xác thực hai lớp cho email và tài khoản quan trọng, để mật khẩu lỡ bị lộ cũng chưa đủ gây hại.

VPN có cần không

VPN tạo một đường hầm mã hóa từ thiết bị đến máy chủ VPN, nên người cùng mạng ký túc xá không đọc được lưu lượng của bạn, kể cả tên miền đang truy cập. Đây là lựa chọn hợp lý nếu bạn thường xuyên dùng mạng mở. Một số trường cung cấp VPN cho sinh viên để truy cập tài nguyên nội bộ; hãy hỏi phòng CNTT. Nếu dùng VPN thương mại, chọn nhà cung cấp uy tín, tránh VPN miễn phí không rõ nguồn gốc, vì khi đó bạn chỉ chuyển niềm tin từ mạng ký túc xá sang một công ty lạ. Cũng có thể bật DNS mã hóa trên thiết bị để che truy vấn tên miền.

Đề xuất với ban quản lý ký túc xá

Người dùng chỉ tự bảo vệ được một phần. Nếu có dịp góp ý, sinh viên có thể đề xuất ký túc xá: bật mã hóa WPA2/WPA3 hoặc mạng xác thực theo tài khoản từng sinh viên, bật cách ly thiết bị, tách mạng cho camera và thiết bị quản lý, và cập nhật firmware bộ phát định kỳ. Các nguyên tắc bảo vệ mạng gia đình trong bài bảo mật Wi-Fi tránh bị nghe lén cũng áp dụng được cho phòng ở ghép tự lắp bộ phát riêng.

Khi nghi ngờ đã bị tấn công qua Wi-Fi

1. Ngắt kết nối, chuyển sang dữ liệu di động.
2. Đổi mật khẩu các tài khoản đã đăng nhập trong thời gian nghi vấn, bắt đầu từ email.
3. Quét mã độc toàn bộ máy.
4. Kiểm tra hoạt động đăng nhập lạ trên tài khoản trường.
5. Báo ban quản lý và phòng CNTT nếu phát hiện mạng giả mạo.

Nếu bạn lưu luận văn, dữ liệu nghiên cứu trên laptop, đừng quên hai lớp bảo vệ bổ sung: sao lưu dự phòng thường xuyên và kiểm tra máy định kỳ để phát hiện ứng dụng lạ.