電車の中で無料のWi-Fiを使用するには、VPNが本当に必要ですか？
私たちのローカル列車サービスは無料のWi-Fiを追加しました。
GMailをチェックして、いくつかのアプリにログインしています。次に、HTTPSを使用してWebサイトにログインします。これは、特にアプリを介して行われる場合、安全ですか？
ネットワークは私のWi-Fiリストに保存されており、電車に乗ると自動的にピックアップされます。
VPNを使用していない場合、機密情報（特にのパスワード）を送受信するすべてのサイトは、HTTPではなくHTTPSである必要があります。 HTTPSの「s」は、TLSハンドシェイクと暗号化によって提供されるセキュアを表します。実際、TLS（つまり、ここでは同じ意味で使用するHTTPS）を使用する場合、サイトごとに個別のVPNを効果的に使用しています。
これが良い習慣である理由についてコメントを追加する価値があるかもしれません。パブリックホットスポットを使用する場合、いくつかの懸念事項があります。 1つ目は、他のWi-Fiユーザーが近くのシステムからブロードキャストされているすべてのトラフィックを受信するようにデバイス（ラップトップ、電話など）を構成したことです。これは、ホットスポットが暗号化を使用するように適切に構成されている場合にも防止できますが、古いWi-Fi暗号化プロトコルは攻撃可能であるため、完全に信頼できるわけではありません。
2番目のリスクは、ホットスポットデバイス自体が侵害されていることです。これが発生する可能性のある方法は、ワイヤレスネットワーク、有線ネットワーク、物理アクセスなど、いくつかあります。別の攻撃は、ホットスポットを偽装することで、ユーザーは正規のサービスではなく攻撃者のシステムに接続します。
各ワイヤレス環境のセキュリティを評価するのではなく、使用する各インターネットサービスへの通信のセキュリティを認識し、公開したくない情報を通信するものについてはTLSに移行することをお勧めします。この習慣は、有線インターネットからデータを公開する（一般的にはまれな）攻撃からも保護できるため、無線接続と有線接続の両方で従う必要があります。
いくつかの免責事項を追加することが私に起こりました：
この議論は、転送中のデータについてです。データが送信中に暗号化されたからといって、宛先サービスでデータが十分に保護されているとは限りません。その保護は宛先に到着すると失われ、リモートサイトで機密データを処理および保存するために他の保護を実施する必要があります。
ALSO、TLSの問題に関する見出しを見たことがあるかもしれません。これらは、プロトコルの特定の実装または古いバージョンに関するものです。サービスプロバイダーがシステムを適切に更新および保守し、最新の更新されたソフトウェア（ブラウザーソフトウェアを更新し続けるなど）を使用している場合、TLSは非常に強力で完全に信頼できるプロトコルです。
それはすべてWi-Fiサービス自体のセキュリティに依存します。WEP、WPA、WPA2を使用していますか？ （ WEP、WPA、WPA2ワイヤレス暗号化の違い（およびそれが重要な理由 ）
ユーザーにとってのもう1つの問題は、公共の場所と同様に、攻撃者は電車内で提供されている無料のWi-Fiを使用して 不正アクセスポイント を設定し、オンラインアクティビティを監視できることです。
追伸.
おもしろい：WEP脆弱性と攻撃。
私の知る限り、暗号化された接続でアプリを使用している場合でも、ほとんどのアプリでポップアップ表示されるサードパーティの広告が原因で個人情報が漏洩する可能性もあります。これらの情報には、iOSバージョン、デバイス情報、サービスプロバイダー、表示言語、最も重要なもの（開いているアプリ、現在の都市および国）が含まれます。これらのサードパーティの広告には暗号化が含まれていないため、個人情報は中間者攻撃と呼ばれる攻撃に対して非常に脆弱です。
機密性の高いことをしている場合は、はい、公共のWiFi/802.11ネットワークに接続するときは常にVPNを使用する必要があります。人間の本性が関わる場合、TLSを使用したHTTPSに依存するだけでは十分ではありません（私たちは自己満足/快適になり、常に警戒を怠る傾向があります）。
明確にしないと
- 安全なサイトにアクセスするときは、常にWebブラウザにHTTPS：//を配置し、かつ
- パスワードを入力したり機密情報にアクセスしたりする前に、TLS経由で接続されていることをevery single time/page確認してください
安全なVPNの代替がないと、脆弱になります。そして、人々がこれらの要件を順守しているかどうかを正直に評価すると、非常に少数の人（私たちの誰かがいるとしても）は、彼らがそうしていると答えることができます。
安全なWebサイトに接続している場合でも、ほとんどの人は「HTTPS：//」で始まる完全なURLを入力しません。代わりに、通常は「google.com」のようなものを入力してEnterキーを押します。このデフォルトのリクエストはHTTP経由であり、HTTPSリソースにリダイレクトされることに依存します。
現在、デバイスが公衆WiFiネットワークになりすましている（そしておそらく実際のWiFiネットワークへのアクセスを拒否している）MitM攻撃をセットアップすることは比較的簡単です。 HTTPSリソースへのリダイレクトが検出されると、攻撃者はサーバーへのTLSセッションを確立しますが、HTTPを介してクライアントに情報を送信し続けます。
これは、ハードウェアでSSL/TLS終了を行うときに、多くのアプリケーション配信コントローラー（ロードバランサーとも呼ばれます）で行われる反対の操作です。そして、そのような攻撃を実行するために必要なのは、ハードウェア、少しの知識、および人間の性質で約100ドルです。
安全にしたい場合は、人間の性質が勝ち、パブリックWiFiネットワークでVPNを使用すると想定します。