Webhostingbedrijf TransIP liet 1.052 Nederlanders ondervragen over openbare wifi op vakantie. Ruim een op de vijf gebruikt zo’n netwerk overal voor, een derde alleen voor dingen die zij niet privacygevoelig vinden, en een op de acht uitsluitend met een VPN erop. De conclusie in het persbericht: twee op de drie Nederlanders lopen risico.
Het advies dat daarbij hoort, kennen we allemaal: zet een VPN aan of gebruik je eigen mobiele data. Dat advies is op zichzelf goed. Het probleem is dat er drie situaties zijn waarin het niet kan, en juist die situaties komen op vakantie veel voor.
Op een cruiseschip zet je hem juist uit
Het duidelijkste voorbeeld staat aan boord. Bij MSC draait de MSC for Me-app, waarmee je je programma, je rekening en de chat met je medereizigers bekijkt, op het netwerk van het schip zelf. Die app werkt zonder internetpakket, want hij hoeft de zee niet over.
Zet je een VPN aan, dan gaat al je verkeer via een server aan wal, en daarmee ook het verkeer dat eigenlijk twee dekken lager had moeten uitkomen. Het gevolg is dat de app het niet meer doet. In de probleemoplossing die rond deze schepen circuleert, is het eerste advies dan ook om je VPN tijdelijk uit te schakelen en alle bijbehorende risico’s te accepteren.
Belangrijk om precies te zijn: MSC verbiedt VPN’s niet. Op een betaald internetpakket kun je er gewoon een gebruiken. Wat botst, is de combinatie van een VPN met apps die op het lokale netwerk moeten praten. Datzelfde geldt op campings met een eigen portaal, in hotels waar je op een chromecast wilt streamen, en op sommige treinen.
De praktische uitweg is een VPN die split tunneling ondersteunt, waarmee je één app buiten de tunnel houdt. Kan jouw VPN dat niet, dan is de keuze simpel: app of bescherming, niet allebei. En dit is het moment waarop VPN weer een complex verhaal wordt.
Het gevaarlijkste moment is precies het moment waarop een VPN niets doet
Er zit een gat in het advies dat zelden wordt benoemd, en het is het gat waar een nepnetwerk doorheen komt.
Verbind je met de wifi van een hotel, luchthaven of café, dan kom je vrijwel altijd eerst op een inlogpagina waar je een kamernummer of e-mailadres moet invullen. Die pagina moet je openen op het open netwerk, want zolang je niet bent ingelogd, laat het netwerk je VPN er niet doorheen. Je zit dus per definitie een tijdje onbeschermd op het netwerk, en precies op dat moment vul je gegevens in.
Daar zit dan ook het echte gevaar bij zo’n nagemaakt netwerk: niet dat iemand meeleest met je bankieren, maar dat de inlogpagina die je te zien krijgt van de aanvaller is. Wat je daar invult, is weg voordat je VPN ook maar is opgestart.
Er zijn landen waar je hem niet aan mág zetten
De derde situatie is juridisch en raakt bestemmingen waar Nederlanders gewoon naartoe gaan. In een reeks landen is VPN-gebruik verboden, vergunningplichtig of geblokkeerd: onder meer Turkije, de Verenigde Arabische Emiraten, Oman, China, Rusland, Belarus, Iran, Irak, Turkmenistan en Oeganda.
Turkije en Dubai staan in de top van Nederlandse vakantiebestemmingen, en daar wordt dit advies dus een advies om lokale regels te negeren. Sommige beveiligingsbedrijven schakelen hun eigen VPN in die landen zelfs automatisch uit om te voorkomen dat klanten in de problemen komen.
In de praktijk wordt een toerist die zijn mail leest zelden aangepakt, en de regels richten zich doorgaans op het omzeilen van blokkades. Maar het is wel iets om te weten voordat je op vakantie de instructie uit een persbericht opvolgt.
Wat er tegenwoordig echt misgaat op open wifi
Bij dit soort onderzoeken hoort een beeld uit een ander tijdperk: iemand in de hoek van het café die meeleest met jouw bankieren. Dat scenario is grotendeels achterhaald, en het is eerlijker om te zeggen waarom.
Vrijwel al het verkeer op internet is inmiddels versleuteld. Het netwerk waarop je zit, ziet daardoor wel met welke diensten je verbinding maakt, maar niet wat je daar doet. Je banksessie meelezen lukt niet, ook niet op een open netwerk.
Wat wel werkt, en wat TransIP terecht noemt, is het omleiden. Een netwerk kan je naar een nagemaakte site sturen, of een inlogpagina tonen die van de aanvaller is. En het feit dat een netwerk ziet dat jij verbinding maakt met een bepaalde bank of werkgever is op zichzelf al waardevol, want daarmee wordt een phishingmail een stuk geloofwaardiger. Dat is een reëel risico, maar het is een ander risico dan waar de meeste mensen aan denken, en het vraagt om andere maatregelen.
Wat er niet klopt aan die twee op de drie
Nog even over dat percentage, want het is de moeite van het narekenen waard. Een op de vijf is 20%, een derde is 33%, en een op de acht is 12,5%. Bij elkaar 65,8%, en dat is inderdaad ongeveer twee op de drie.
Alleen zit in dat getal ook de groep die uitsluitend met een VPN werkt, en dat is precies de groep die het persbericht zelf als voorzichtig aanmerkt. Wie die eraf haalt, houdt 53% over. Dat is nog steeds meer dan de helft en nog steeds nieuwswaardig, maar het is geen twee op de drie.
Verder is dit een enquête van 1.052 mensen, wat neerkomt op een foutmarge van ongeveer 3 procentpunt, en het is een onderzoek in opdracht van een bedrijf dat er zichtbaarheid mee wint. Dat maakt de bevindingen niet onjuist, maar het is wel de context waarin je het getal moet lezen.
Wat dan wel te doen
Het beste antwoord staat gelukkig in het persbericht zelf: gebruik je eigen mobiele data. Binnen de EU werkt je Nederlandse bundel gewoon tegen je gewone tarief, en daarbuiten is een tijdelijke databundel of een tweede simkaart tegenwoordig een kwestie van tientjes. Daarmee omzeil je alle drie de problemen hierboven, want je hebt dat open netwerk dan simpelweg niet nodig.
Moet je toch op openbare wifi, hou dan twee dingen aan. Typ nooit een wachtwoord of betaalgegevens in op een pagina die vanzelf openklapte zodra je verbinding maakte, hoe echt hij er ook uitziet. En zet tweestapsverificatie aan op je mail, want dat is het account waarmee iemand de rest van je wachtwoorden kan resetten.
Dat is minder spectaculair dan een waarschuwing over hackers in de lobby, maar het is wel wat er in de praktijk het verschil maakt. Net als bij juicejacking geldt hier dat het genoemde risico bestaat, maar dat de maatregel die ertegen helpt zelden de maatregel is die in de kop staat.