Bahaya Wi-Fi Publik (Bahkan dengan HTTPS di Mana-mana)
Beberapa tahun lalu, nasihat untuk memakai jaringan kedai kopi sederhana dan suram: anggap saja ada seseorang yang membaca lalu lintas Anda. Lalu HTTPS menjadi standar hampir di mana-mana, peramban mulai menjerit soal situs teks polos, dan banyak orang diam-diam berhenti khawatir.
Bagian kedua itulah masalahnya. Bahaya Wi-Fi publik tidak menghilang ketika HTTPS menang — ia hanya bergeser. Penyadap pasif yang dulu mengendus kata sandi Gmail Anda dari udara kini sebagian besar tersisih karena tak lagi sepadan. Yang tersisa lebih menarik, lebih bertarget, dan lebih sulit disadari karena ikon gembok membuat semuanya terlihat baik-baik saja.
Tulisan ini menelusuri apa yang sebenarnya diperbaiki HTTPS, apa yang tidak, dan segelintir kebiasaan yang secara berarti mengubah tingkat keterpaparan Anda di jaringan yang bukan milik Anda.
Apa yang Sebenarnya Diselesaikan HTTPS
Kita akui kelebihannya. HTTPS — versi terenkripsi dari protokol web — memang memperbaiki versi masalah Wi-Fi publik yang paling besar dan paling bodoh.
Pada 2014, seseorang di jaringan bandara yang sama dengan Anda bisa menjalankan alat gratis, mengamati peramban Anda memuat Facebook, lalu pergi membawa cookie sesi Anda. Kelas serangan itu sebagian besar sudah mati. Kombinasi HTTPS-sebagai-bawaan, HSTS (penanda yang memberi tahu peramban “jangan pernah muat situs ini lewat HTTP polos lagi”), dan aturan cookie yang lebih ketat membuat pengendusan pasif biasa atas situs arus utama tak banyak membuahkan hasil.
Jika model ancaman Anda adalah “saya tidak ingin remaja iseng tiga meja di sebelah membaca email saya,” HTTPS sudah membawa Anda ke sana.
Model ancaman satu tingkat di atasnya itulah yang membuatnya lebih jujur.
Apa yang Tidak Dicakup HTTPS
HTTPS mengenkripsi isi koneksi Anda ke server tertentu. Ia tidak melindungi langkah-langkah sebelum koneksi itu terbangun, dan ia tidak melindungi Anda dari diri sendiri ketika sesuatu tampak agak janggal. Di sinilah bahaya Wi-Fi publik masih bersarang.
Injeksi Captive Portal
Halaman “setujui ketentuan kami” yang muncul di Wi-Fi hotel dan bandara disebut captive portal. Agar berfungsi, jaringan harus mencegat permintaan web pertama Anda dan mengalihkannya ke tempat pilihannya. Itu adalah man-in-the-middle bawaan rancangan. Diizinkan, tetapi tetap saja man-in-the-middle.
Captive portal yang dikelola dengan baik tidak berbahaya. Yang dikelola buruk (atau yang sengaja jahat) bisa menyuguhi Anda JavaScript, mendorong pembaruan perangkat lunak palsu, atau diam-diam memprofil setiap perangkat yang bergabung. Ponsel Anda sering menampilkan portal dalam peramban yang dipangkas tanpa bilah alamat lengkap, yang membuat lebih sulit mengetahui apa yang sebenarnya Anda lihat.
Pembajakan DNS pada Resolver Lemah
Ketika Anda mengetik bank.com, perangkat Anda bertanya kepada resolver DNS jaringan “berapa alamat IP untuk itu?” Di jaringan publik, resolver itu dijalankan oleh siapa pun yang memiliki titik aksesnya.
Resolver yang salah konfigurasi atau jahat bisa berbohong. Ia bisa mengirim Anda ke server yang bukan bank Anda, lalu menyajikan sertifikat miliknya sendiri. Peramban modern akan memperingatkan Anda — tetapi hanya jika sertifikatnya salah, dan hanya jika Anda membaca peringatannya alih-alih menerobos.
SSL Stripping pada Situs Salah Konfigurasi
SSL stripping adalah trik lama yang masih berhasil dalam kasus-kasus sempit. Penyerang menyusup di antara Anda dan situs yang ingin Anda tuju. Anda mengetik example.com (tanpa awalan https://), jaringan mencegatnya, mengambil sendiri halaman HTTPS aslinya, lalu menyajikan kepada Anda salinan HTTP polos.
Situs yang menggunakan HSTS preloading kebal. Situs yang tidak (biasanya layanan yang lebih kecil, alat internal, atau apa pun yang Anda akses lewat penanda lama) tidak kebal. Bilah alamat akan diam-diam menampilkan http:// alih-alih ikon gembok, dan kebanyakan orang tidak memperhatikan.
Titik Akses Nakal dan Evil Twin
Yang satu ini layak dipahami dengan baik, karena ia melewati sebagian besar pertahanan di atas.
Ponsel Anda mengingat jaringan. Ketika ia melihat beacon (paket siaran kecil yang mengumumkan nama Wi-Fi) yang cocok dengan jaringan yang pernah ia ikuti, ia bisa terhubung secara otomatis. Penyerang dengan perangkat keras siap pakai bisa menyiarkan beacon yang mengaku sebagai Starbucks WiFi atau Hotel Guest, mengirim bingkai deautentikasi untuk melepaskan ponsel Anda dari jaringan yang sah, lalu mengamati perangkat Anda berpindah ke jaringan mereka tanpa Anda menyentuh apa pun.
Sejak titik itu, penyerang adalah jaringannya. Mereka mengendalikan DNS. Mereka menjalankan captive portal. Mereka melihat aplikasi mana di perangkat Anda yang berusaha menjangkau server mana, bahkan jika isinya terenkripsi. Mereka bisa menyajikan halaman captive portal mereka sendiri, mencoba SSL stripping pada apa pun yang tidak di-preload, dan meminta kredensial di dalam sesuatu yang tampak seperti alur masuk biasa.
Istilah teknisnya adalah “evil twin,” dan bagian senyapnya adalah tidak ada yang memperingatkan Anda bahwa hal itu sedang terjadi. Ponsel Anda hanya menampilkan ikon Wi-Fi yang familier.
Pembiasaan terhadap Peringatan Sertifikat
Peramban menjadi mahir memberi peringatan. Pengguna menjadi mahir mengabaikannya.
Ketika Anda melihat peringatan sertifikat merah satu halaman penuh, itu hampir selalu berarti ada yang salah dengan koneksinya. Kadang tak berbahaya (sertifikat kedaluwarsa), kadang tidak (man-in-the-middle aktif). Solusinya adalah tidak menerobos. Pada praktiknya, orang sudah terlatih oleh jaringan perusahaan yang salah konfigurasi selama bertahun-tahun untuk menggebuk tombol “lanjutkan saja” tanpa membaca.
Di jaringan kedai kopi, tombol itu bisa jadi seluruh serangannya.
Cara Kerja Serangan Evil-Twin Sebenarnya
Jika Anda menginginkan satu gambaran utuh tentang bagaimana semua ini saling terkait, serangan evil-twin adalah contoh yang paling jernih.
Penyerang membawa laptop atau perangkat portabel kecil ke kedai kopi. Mereka menjalankan perangkat lunak yang melakukan tiga hal secara berurutan.
Pertama, ia memindai udara untuk jaringan Wi-Fi di sekitar dan mencatat nama (SSID) jaringan yang sah. Misalnya Cafe Guest. Ia lalu mulai menyiarkan bingkai beacon miliknya sendiri dengan nama yang sama, sering dengan daya lebih tinggi agar perangkat lebih memilihnya.
Kedua, ia mengirim bingkai deautentikasi ke klien yang sudah terhubung ke jaringan asli. Bingkai deauth adalah bagian normal dari cara kerja Wi-Fi — ia memberi tahu perangkat “Anda telah terputus, silakan bergabung kembali.” Di sebagian besar jaringan ia tidak terotentikasi, yang berarti siapa pun bisa mengirimnya. Ponsel di jaringan asli terlempar keluar dan mencari tempat untuk terhubung kembali.
Ketiga, penyerang menyajikan captive portal. Bisa jadi ia meminta email dan kata sandi “untuk mengakses Wi-Fi gratis.” Bisa jadi ia meniru halaman masuk hotel. Bisa jadi ia hanya membiarkan Anda lewat dalam senyap, merutekan lalu lintas Anda keluar lewat koneksi mereka sendiri, lalu mencatat semuanya. Dari sudut pandang ponsel Anda, Anda sedang daring. Dari sudut pandang penyerang, mereka kini menjadi ISP Anda.
Pertahanannya bukan dengan membaca header paket. Pertahanannya adalah membuat serangan itu tidak menarik — dengan tidak bergabung otomatis ke jaringan tak dikenal, dengan merutekan lalu lintas sensitif Anda melalui sesuatu yang tidak bisa diintip jaringan lokal, dan dengan tidak memasukkan kredensial ke halaman yang tidak Anda buka secara sengaja.
Apakah Wi-Fi Publik Aman pada 2026?
Jawaban jujurnya: cukup aman untuk kebanyakan hal, tidak cukup aman untuk segalanya.
Membaca berita, mencari resep, menggulir media sosial — tidak masalah. Biaya kesalahan atas lalu lintas itu rendah dan perlindungan di peramban modern memang nyata.
Masuk ke rekening bank, mengakses panel admin kerja, menyetujui transfer kawat, atau masuk ke layanan baru yang mengirimi Anda kode pemulihan lewat SMS — ini adalah momen bernilai lebih tinggi di mana jurang antara “mungkin aman” dan “pasti aman” menjadi penting. Cara murah untuk menutup jurang itu adalah dengan tidak melakukannya di jaringan yang tidak Anda kendalikan.
Lima Langkah Praktis
Tak satu pun dari ini menuntut Anda memikirkan bingkai paket. Semuanya kebiasaan.
- Matikan gabung otomatis untuk jaringan tak dikenal.Di iPhone, ini ada di Settings → Wi-Fi → Auto-Join Hotspot, dan per-jaringan di Wi-Fi → (nama jaringan) → Auto-Join. Intinya adalah membuat perangkat Anda bertanya lebih dulu sebelum bergabung ke sesuatu dengan nama yang familier. Lihat panduan langkah demi langkah pengaturan VPN iPhone kami untuk langkah-langkah terkait.
- Utamakan jaringan seluler atau hotspot Anda sendiri bila memungkinkan. Koneksi 5G tidak sepenuhnya privat, tetapi ia memiliki satu operator yang bertanggung jawab, dan tidak ada cara mudah bagi orang asing untuk menyisip ke tengah-tengahnya. Untuk apa pun yang sensitif saat bepergian, hotspot ponsel Anda biasanya jawaban yang lebih baik daripada jaringan hotel.
- Gunakan VPN untuk momen-momen yang penting. Sebuah VPN, singkatan dari virtual private network, merutekan lalu lintas Anda melalui terowongan terenkripsi ke server yang Anda percayai, sehingga jaringan lokal hanya melihat satu koneksi itu dan tidak tahu apa pun tentang ke mana ia menuju. Ini menetralkan sebagian besar kategori di atas: captive portal masih bisa merecoki Anda, tetapi ia tidak bisa melihat pencarian DNS Anda, tidak bisa melakukan SSL stripping pada situs yang Anda kunjungi, dan tidak bisa memprofil aplikasi mana yang Anda pakai. Jika Anda baru mengenal gagasannya, primer kami tentang apa sebenarnya VPN itu membahas dasar-dasarnya, dan panduan kami soal VPN saat bepergian masuk ke detailnya. Snap adalah salah satu opsi yang dibangun di sekitar pendirian itu, tetapi kebiasaan yang lebih luas lebih penting daripada mereknya.
- Jangan pernah menerobos peringatan sertifikat di jaringan publik. Jika Anda melihat peringatan peramban satu halaman penuh tentang sertifikat, tutup tabnya. Di jaringan rumah Anda itu hampir selalu situs yang salah konfigurasi; di Wi-Fi kedai kopi bisa jadi ada seseorang yang aktif di tengah. Biaya kesalahannya cukup tinggi sehingga “coba lagi nanti” adalah pilihan bawaan yang benar.
- Simpan login dan transaksi sensitif untuk jaringan tepercaya. Perbankan, reset kata sandi, apa pun yang melibatkan kode pemulihan atau alur dua faktor — semua ini sepadan dengan sedikit ketidaknyamanan menunggu sampai Anda kembali ke jaringan seluler atau Wi-Fi rumah. Keuntungan kenyamanan dari melakukannya di bandara tidak sebanding dengan ketimpangan atas apa yang bisa salah.
Apa yang Diperbaiki VPN dan Apa yang Tidak
Ada banyak kebisingan soal hal ini, jadi ada baiknya bersikap spesifik.
VPN memang memperbaiki:
- Kemampuan jaringan lokal untuk melihat pencarian DNS Anda
- SSL stripping (lalu lintas Anda tidak melintasi jaringan jahat dalam bentuk teks terbuka)
- Pemrofilan captive portal setelah Anda melewati captive portal
- Kemampuan titik akses nakal untuk mempelajari apa pun yang berguna tentang aktivitas Anda
VPN tidak memperbaiki:
- Peringatan sertifikat yang tetap Anda terobos
- Halaman phishing yang aktif Anda masuki
- Malware yang sudah ada di perangkat Anda
- Kenyataan bahwa situs web yang Anda kunjungi tetap bisa mengenali Anda melalui akun dan cookie
Ia adalah alat yang tajam untuk satu kelas bahaya Wi-Fi publik tertentu. Ia bukan perisai ajaib, dan produk yang menjualnya seakan begitu sedang melebih-lebihkan apa yang ia lakukan. Rangkuman kami tentang mitos VPN yang umum masuk lebih dalam ke jurang antara pemasaran dan kenyataan.
Kesimpulan
HTTPS menyelesaikan versi mudah dari masalahnya. Versi yang lebih sulit, lapisan di bawah koneksi tempat DNS, captive portal, dan titik akses nakal bersarang, sebagian besar tak terlihat sampai sesuatu berjalan salah.
Anda tidak perlu menjadi insinyur jaringan untuk bersikap masuk akal soal ini. Matikan gabung otomatis, bersikap skeptis terhadap captive portal, jangan menerobos peringatan sertifikat, dan gunakan jaringan seluler atau VPN saat taruhannya nyata.
Jika Anda ingin bagian VPN ditangani dengan rapi di iOS — tanpa email saat mendaftar, tanpa catatan lalu lintas, langganan ditagih diam-diam lewat Apple ID Anda — Snap dibangun persis di sekitar pendirian itu. macOS sedang dalam perjalanan. Apa pun pilihannya, hal terpenting bukanlah aplikasi mana yang Anda pasang; melainkan Anda berhenti memperlakukan jaringan kedai kopi seolah-olah itu milik Anda sendiri.