是否有机会入侵使用此服务打开的电子邮件和其他帐户？这种访问方式还有其他安全问题吗？
#1 楼
无保护的Wifi网络（尤其是在公共场所）无疑是一种威胁。这是因为您在连接网络时却不知道还有谁在网络上。咖啡馆，饭店等提供的“免费Wifi”是获取密码的绝佳场所。
攻击者通常使用ARP缓存中毒来实施中间人攻击。到那时，攻击者可以读取所有纯文本密码，包括不安全的电子邮件（不使用TLS的电子邮件），未加密的ftp，不带SSL的网站等。更不用说他们可以看到您所有的Google搜索，您访问的所有域（
，他们不费吹灰之力就到达了这一点，ARP缓存中毒和数据包嗅探都很容易。更高级的攻击者可能在其计算机上设置了活动代理，以执行诸如SSL Stripping之类的攻击，这将使他能够访问您访问的所有站点，包括HTTPS。这意味着他现在有了您的PayPal，Facebook和Twitter密码。
继续前进，攻击者可能会直接将您的计算机作为攻击目标，如果您有一段时间没有更新软件，他可能会生成使用Metasploit的外壳，并下载所有文件以供以后分析。其中包括所有已保存的浏览器密码，身份验证cookie，银行对帐单等。
TL; DR：连接到网络时，您会将设备和所有流量暴露给的其他用户该网络。在开放的WiFi中，这名女孩坐在一辆马车对面的街道上，并带有Kali笔记本电脑和GPU阵列。更新您的软件，并且不使用VPN请勿登录任何敏感内容。
评论
Google现在不是默认情况下切换到https吗？此外，我直接从书签或Google搜索（也是https）访问https链接。当从不安全的wifi访问重要的https链接时，我习惯检查浏览器的状态文本怎么说。即当我使用不安全的wifi登录时，即使没有使用VPN，我仍然会采取预防措施。无论如何，只有当您不了解安全性时，不安全的wifi才起作用。
– sashoalm
2013年4月24日12:23
“他们可以看到您访问的所有页面（加密或不加密），等等。”您不是在说域名吗？
–阿迪
13-4-24在17:14
有人可以解释一下如果有人进行SSL剥离时VPN将如何帮助您？将会发生什么，您将如何检测是否有人在这样做？
–user3490
13年4月24日在21:44
@ user3490 SSL剥离不会破坏SSL本身，它只是将通过HTTP发送的流量修改为仅指向其他HTTP页面，即使原始站点具有指向HTTPS页面的链接也是如此。考虑去amazon.com（HTTP），然后单击“登录”按钮，以及如何将您发送到HTTPS页面... SSL剥离会更改原始页面的链接以使用HTTP（而不是S！）版本登录页面的
– Kitsune
13年4月25日在0:45
@ user3490，SSL剥离通过利用第一个未加密的连接而起作用。如果使用VPN，则所有内容都是加密的，因此攻击者没有第一个未加密的连接可以利用。
–起搏器
15年5月25日在7:23
#2 楼
好吧，您正在通过不受信任的渠道发送所有内容。因此，可以嗅探并捕获您在Internet上使用的所有不提供SSL接口（或类似接口）的通信协议，该接口还可以检查有效性（攻击者喜欢在免费的无线热点上执行MITM）。因此，他们最少只能看到您在哪个时间段内访问的网站。如果您使用的是未加密的协议，例如纯HTTP，POP3或IMAP，那么可以，它们将能够获取您的凭据。尽管此问题不仅限于开放的WiFi访问，并且可以在任何网络上完成，但其他人监视无线网络变得容易得多。
因此，如果您不确定通过网络发送的所有内容都已加密，并且在设置加密时作为客户端和端点之间进行严格的身份验证，则可能不是最佳主意隧道。
#3 楼
简而言之，黑客入侵的一种常见方法是使用wifi热点前往公共场所（机场），或者保持开放状态，或者只是冒充有效的攻击者并等待人们连接。他们可以简单地侦听任何未加密的数据。这基本上意味着您在使用公共热点时需要非常小心...因此要小心，如果有人怀有恶意，外行几乎是不可能的。最好的方法是设置VPN而一旦您连接到公共网络再连接到您的VPN，这当然会比大多数外行都想做的要复杂。
#4 楼
除了其他人所说的以外，我认为值得澄清的是，如果您以WPA / WPA2-Enterprise以外的安全性连接到WiFi，则很容易被嗅探，因为所有用户都共享同一密钥（或根本没有密钥）这与我发现很多用户的普遍误解相反，我误以为，使用WPA / WPA2 PSK可以防止嗅探，因为它为每个用户使用了不同的链接密钥。这里的问题是从握手中恢复该链接密钥很简单，然后您就可以毫无问题地进行嗅探。
因此，如果您以非企业安全性连接到不受信任用户的任何WiFi，可以连接（例如咖啡馆，餐厅等），然后使用安全的VPN。
#5 楼
是的，这是一种威胁。不只是开放式网络，还有任何您不信任的人拥有的网络（例如受保护但提供密码的购物中心网络），他们可以做很多事情：读取所有未加密的流量
任何内容您通过http连接发送的邮件可以被他们读取。密码，用户名，信用卡号，作品。所有这些都以纯文本形式发送，并且可以轻松记录。
许多应用程序也都在未加密的连接上运行。有很多重要的信息可以从中窥探。
仿冒所有已加密的流量
通常，很难欺骗HTTPS，因为您需要有效的证书才能起作用。但是，很多时候您在地址栏中键入HTTP URL，它将您重定向到等效的HTTPS。例如，当您在地址栏中键入
http://mail.google.com时，您将得到以下内容（它是重定向）：<html>
<head>
<meta http-equiv="Refresh" content="0;URL=http://mail.google.com/mail/"/>
</head>
<body>
<script type="text/javascript" language="javascript">
<!--
location.replace("http://mail.google.com/mail/")
-->
</script>
</body>
如果不存在该怎么办？虽然可以直接访问GMail的应用程序仍然可以运行（他们知道https），但是您在地址栏中键入的任何内容（如果不是明确的https）都可以被仿冒。他们可以将您重定向到伪造的GMail，您将在其中登录并窃取您的凭据。虽然双重身份验证有帮助，但是它并不能阻止它们窃取您的cookie，这将使他们可以访问您的帐户，直到您注销为止。
也可以相反。当您请求HTTPS时，他们可以使用
301 Moved Permanently重定向为您提供HTTP服务，并且会给您一些在URL中显示http://mail.google.com的信息，但实际上指向的是完全不同的服务器。移动浏览器和桌面浏览器似乎都允许301重定向而不会大惊小怪。台式机浏览器在未经授权的HTTPS重定向时会大惊小怪，而移动浏览器则不允许。例如，Chrome浏览器显示以下内容：
在https连接上时。如果您很警惕，您会注意到台式机浏览器上的HTTPS是否已被HTTP取代（因为该图标不再是绿色的），但是大多数移动浏览器似乎没有任何指示安全连接的方式。
使用HSTS可以解决此问题（在网站上），而在书签方面可以保留浏览器的历史记录。
对设备的未授权访问
取决于您的共享设置（以及您将网络设置为-始终对不信任的网络始终使用“公共”），则可以访问Windows文件系统。除非您设置了ssh或telnet（并且如果您设置了ssh或telnet，我假设您知道如何保护它的安全），那么Linux通常对此是安全的。大多数手机也一样。
评论
HSTS和站点固定可解决网络钓鱼问题。
– Slaks
13年4月24日在21:22
@SLaks：HSTS将如何解决此问题？这是服务器方面的事情，在这种情况下，真正的服务器永远不会出现。
– Manishearth
13年4月24日在21:33
如果您以前曾通过受信任的连接访问过该站点，那么HSTS将为您提供帮助。
– Slaks
13年4月24日在21:41
@SLaks：啊，我明白了:)
– Manishearth
13年4月24日在21:42
“也可以相反。当您请求HTTPS时，他们可以使用301移动永久重定向来为您提供HTTP服务”。我敢肯定这是错误的。如果您使用HTTPS请求页面，则必须通过该HTTPS连接提供301重定向，因此攻击者无法使用该方法来重定向您。 （尽管网站所有者可以。）
– Ajedi32
2015年7月7日在17:48
#6 楼
除了提到的所有内容之外，您还容易受到NIGHTSTAND等攻击的攻击：主动802.11无线利用和注入工具，用于将有效载荷/利用传递到否则被拒绝的目标空间中。 NIGHTSTAND通常用于无法通过有线方式访问目标的操作中。
通过无线网络将无法确保物理访问的安全。在这种情况下，范围内的任何人都可以拦截通信并将流量发送到您的设备。该流量可能会针对您的操作系统如何处理某些协议甚至无线网卡的驱动程序如何处理协议的漏洞。因此，许多安全专业人员将完全放弃WiFi，而改用通过GSM / CDMA上网的手机进行互联网连接。不只是打开WiFi。但是，安全的WiFi会将流量封装在安全协议（例如SSL）中。从NIGHTSTAND的角度来看，这可以最大程度地减少攻击面，因为要针对的协议较少。对于开放的WiFi系统，通常不会封装连接。然后，攻击者就可以看到发送到所有目标的流量。例如，错误配置的SSL，明文协议和有趣的替代协议。由于现在可以将这些协议中的任何一个作为目标，因此对网络通信的这种访问级别提供了更大的攻击面。当尝试对主机进行指纹识别时，它也可以极大地帮助攻击者。
评论
我不确定这是否能回答问题。当WiFi在任何情况下都处于活动状态时，不仅连接到打开的WiFi时，NIGHTSTAND将成为一个问题。
– schroeder♦
2015年9月19日于17:57
@schroeder-好点！我更新了我的帖子。
–user2320464
2015年9月19日在18:37
#7 楼
信号半径以下带有无线卡的任何人都可以加入您的无线网络。他们可以使用许多工具来嗅探甚至操纵网络中的流量。像Ettercap这样的Usinf工具，任何人都可以发起中间人（MITM）攻击，使所有流量在到达您的设备之前都通过黑客的便携式计算机。他们可以使用按键记录器记录键盘上的任何按键。他们可以使用Wireshark等软件查看网络中发生的一切。
在最坏的情况下，黑客可以使用您的计算机对其他计算机甚至政府系统发起攻击。由于所有流量都来自您的网络，因此当FBI敲门时，您将处在斩波状态。
您知道它们对那些开放不安全家庭网络的人来说是否合适：)
夫妇建议：
使用WPA2使用非常强而长的密码进行加密
将您的无线信号限制在房间或房间内，这样没人能开车到您的停车场并获得无线信号。
评论
您应该就您注意到的“罚款”澄清您的答案。这可能仅在某些国家/地区（例如印度）。另外，OP指出他正在连接到一个不安全的网络，而不是建立一个。
– Eric G
13年4月24日在17:33
我知道。加入不安全的网络时，他仍然容易受到相同的攻击。我添加了一些建议，以防万一有人读这篇文章时想知道如何正确保护它们。
–达蒙
13年4月24日在18:25
键盘记录器不是开放无线系统的漏洞。获得访问权限后，它会在系统上利用其实用程序。
–user2320464
2015年9月19日下午16:44
评论
即使使用WPA登录到不受信任的WiFi连接，也始终存在威胁。问题不同：如何确定有人要获取您的数据。在开放网络的情况下，攻击者需要较少的资源。我不了解你的情况。您的手机是在记住密码并自动进行登录吗，还是关于完全没有密码的wifi？ [“非主题”，有趣，旁注：在某些国家/地区，开放的网络是非法的：即意大利。]
我建议您使用HTTPS Everywhere插件。虽然它不是一个完整的保护，但它使您的浏览器对许多主要网站（包括Google搜索）使用HTTPS。
是的，风险很高。如果您已连接到不使用https，vpn或ssh（即加密）的任何服务，则您的凭据（密码）已发送为纯文本，该wifi上的任何用户都可以看到它们。更新密码。