为什么带密码的Wi-Fi也不一定安全

周五下午三点，林哲推开公司楼下那家咖啡馆的玻璃门。他刚和客户吵完一架，脑子嗡嗡响，只想找个角落改完方案，赶在六点前发出去。店里人不多，他点了一杯美式，掏出笔记本，熟练地连上了那个熟悉的Wi-Fi名称——“Cafe_Free_WiFi”。密码是店长贴在收银台旁边的小纸条：cafe2024。他输入密码，连接成功，浏览器弹出认证页面，一切看起来和往常一样。

四十分钟后，他的手机开始疯狂震动。银行App推送了三条消费提醒：一笔在某境外电商平台刷了八千多，一笔充值了游戏点卡，还有一笔转到了一个陌生账户。林哲愣住了——他明明什么都没操作。他下意识地拔掉网线、关掉Wi-Fi，但为时已晚。后来技术人员告诉他：他连上的那个“Cafe_Free_WiFi”根本不是咖啡馆的官方热点，而是一个同名伪造的“钓鱼Wi-Fi”。攻击者用一台笔记本和一张无线网卡，在咖啡馆里搭了一个假热点，密码故意设成和真热点一样——因为真密码早就被贴在收银台，任何进店的人都能看到。

这个故事不是虚构的。每年都有大量类似的案例发生在地铁站、机场、酒店、商场和写字楼里。很多人有一个根深蒂固的错觉：只要Wi-Fi有密码，就是安全的。但事实恰恰相反：密码只解决了“谁能连上这个热点”的问题，却完全没有解决“连上之后你的数据去了哪里”的问题。尤其是在远程办公和公共网络交织的今天，密码背后的风险，远比我们想象的要复杂。

密码保护的是“入口”，不是“管道”

要理解为什么带密码的Wi-Fi不一定安全，首先要搞清楚Wi-Fi密码到底在保护什么。

当你输入密码连接一个Wi-Fi时，这个密码的作用是让路由器和你的设备之间完成一次“身份确认”——路由器确认你有资格接入，你的设备确认这个路由器是你想连的那个。在WPA2或WPA3加密协议下，密码还会参与生成一个会话密钥，用来加密你设备和路由器之间的无线信号。也就是说，密码确实能防止“隔壁老王”蹭你的网，也能防止别人在空气中直接抓取你未加密的无线数据包。

但问题在于：密码保护的是你到路由器这一段，而不是你到互联网那一段。一旦数据包离开了路由器，进入运营商的网络、进入互联网，Wi-Fi密码就完全失效了。而攻击者恰恰可以在这个“后路由器”的环节做手脚。

伪造热点：密码可以一模一样

回到林哲的案例。攻击者并不需要破解咖啡馆的真密码，他只需要知道这个密码——而密码就贴在收银台上。他搭建一个同名热点，设置同样的密码，甚至伪造一个一模一样的认证页面。你的设备会自动连接信号更强的那个，或者你在列表里手动点击时根本分不清真假。连上之后，攻击者可以在自己的热点上做DNS劫持，把你访问的银行网站指向一个克隆页面；也可以做ARP欺骗，让你在局域网内的流量经过他的设备；还可以直接抓包，分析你未加密的HTTP请求。

密码在这里成了一个心理安慰剂：你以为“有密码=安全”，但攻击者恰恰利用了这个心理。更讽刺的是，很多公共Wi-Fi的密码本身就是公开的——贴在墙上、印在菜单上、写在房卡套上。密码的“秘密性”在公共场景下几乎不存在。

中间人攻击：你连的是“真”热点，但数据被截了

还有一种更隐蔽的情况：你连的确实是商家的真热点，密码也是真的，但攻击者通过技术手段把自己插入到你与路由器之间，成为“中间人”。比如，攻击者可以伪造一个DHCP服务器，让你的设备把网关指向他的机器；或者利用ARP欺骗，让你的设备认为攻击者的MAC地址就是路由器的MAC地址。这样一来，你发往路由器的数据会先经过攻击者的设备，他可以选择转发、篡改或记录。

在这种情况下，Wi-Fi密码完全不起作用，因为你已经完成了合法认证，攻击者是在你“合法连接”之后才介入的。你看到的网页、输入的账号密码、发送的文件，都可能在他那里过了一遍。

公共Wi-Fi的“信任链”本身就是断裂的

除了技术层面的攻击，公共Wi-Fi还有一个更深层的问题：你根本不知道这个网络背后是谁在运营。

你在酒店连上一个名为“Hotel_Guest”的Wi-Fi，密码是房卡上的房间号。你觉得这是酒店官方提供的，应该可信。但有没有可能，这个热点是上一个房客留下的随身Wi-Fi？有没有可能，酒店的网络被外包给了一个不靠谱的第三方，而那个第三方在路由器上装了流量分析工具？有没有可能，酒店的路由器本身就被入侵了，固件里藏着后门？

这些都不是杞人忧天。2019年，某安全团队在多家连锁酒店的路由器上发现了恶意固件，攻击者可以远程监控所有通过该路由器上网的客人。2021年，某机场的免费Wi-Fi被曝出会向用户推送恶意广告，并在用户设备上植入跟踪脚本。这些案例的共同点是：用户都输入了正确的密码，都以为自己连的是“官方网络”，但密码并没有阻止任何事。

更麻烦的是，很多公共Wi-Fi的认证页面本身就有问题。你连上Wi-Fi后弹出的那个“输入手机号获取验证码”的页面，可能根本不是商家做的，而是攻击者伪造的。你输入的手机号、验证码，甚至你点击“同意”时授权的信息，都可能被直接发送到攻击者的服务器。密码在这里只是让你“连上”，而认证页面才是真正的陷阱入口。

VPN为什么被反复提及？因为它解决的是“管道”问题

每次出现公共Wi-Fi安全事件，VPN都会被拿出来说一遍。但很多人对VPN的理解停留在“翻墙”或者“加速游戏”上，忽略了它在安全层面的核心价值。

VPN（虚拟专用网络）做的事情，是在你的设备和VPN服务器之间建立一条加密隧道。你发送的所有数据，先被VPN客户端加密，然后才通过Wi-Fi路由器发出去。路由器看到的只是一堆密文，它不知道你在访问哪个网站、传输了什么内容。即使攻击者控制了Wi-Fi路由器，或者搭了伪造热点，他截获的也只是加密后的数据流，无法直接读取或篡改。

换句话说，Wi-Fi密码保护的是“你到路由器”这一段，而VPN保护的是“你到互联网”这一段。两者覆盖的范围不同。在公共Wi-Fi环境下，你无法控制路由器的安全性，也无法确认热点是真是假，但你可以通过VPN把“后路由器”这一段也加密起来。这就是为什么安全从业者会反复强调：在公共Wi-Fi上处理敏感信息时，VPN是必要的补充手段。

但VPN也不是万能药

需要说清楚的是，VPN并不能解决所有问题。如果你连上的是伪造热点，攻击者仍然可以在你连接VPN之前做手脚——比如在认证页面诱导你下载恶意软件，或者在你建立VPN连接之前劫持你的DNS请求。另外，如果你使用的VPN本身不可信（比如免费VPN靠卖用户数据盈利），那相当于把信任从一个陌生人转移到了另一个陌生人手里。

所以更准确的表述是：带密码的Wi-Fi不一定安全，而VPN是在你不信任网络环境时的一种补救措施。它不是让你“随便连什么Wi-Fi都高枕无忧”，而是让你在不得不使用公共网络时，多一层可控的加密保护。

那些容易被忽略的细节：HTTPS、DNS和“小锁”的局限

有人会说：现在网站都是HTTPS了，浏览器地址栏有小锁，就算Wi-Fi被监听，数据也是加密的，怕什么？

这个说法有一定道理，但不完整。HTTPS确实加密了浏览器和网站之间的通信内容，攻击者无法直接看到你的密码和银行卡号。但HTTPS并不能隐藏你访问了哪个网站——攻击者仍然可以通过DNS查询或SNI信息知道你连了哪些域名。而且，如果你连上的是伪造热点，攻击者可以用一个自签名的证书或者伪造的证书来实施中间人攻击，浏览器可能会弹出警告，但很多人会习惯性点击“继续访问”。更不用说，很多App的内部通信并不严格遵循HTTPS，或者使用了自定义的加密协议，在公共Wi-Fi下仍然存在被劫持的风险。

DNS也是一个容易被忽视的环节。当你输入一个网址时，设备需要先通过DNS把域名解析成IP地址。如果Wi-Fi路由器被控制，它可以返回一个错误的IP地址，把你导向钓鱼网站。这个过程发生在HTTPS建立之前，密码和HTTPS都帮不上忙。而VPN通常会把DNS请求也纳入隧道，避免DNS被劫持。

回到那个咖啡馆：如果林哲做了不同的事

假设林哲在连上Wi-Fi之前，先问了店员一句：“你们家Wi-Fi是哪个？密码是多少？”店员告诉他，官方热点叫“Cafe_Official_5G”，密码是另一串字符。他再打开Wi-Fi列表，发现“Cafe_Free_WiFi”的信号强得异常，而“Cafe_Official_5G”只有两格信号。他选择了后者，连上后先打开VPN，再登录银行App。攻击者仍然在咖啡馆里，但他的伪造热点没有被选中，即使他做了ARP欺骗，VPN的加密隧道也让截获的数据变成乱码。

这个假设场景并不是要推销某种“完美操作”，而是想说明一个事实：安全是一个链条，Wi-Fi密码只是其中一环。当这一环被攻破、被绕过、被伪造时，你需要其他环节来兜底。VPN就是那个在“网络环境不可信”时帮你兜底的环节之一。

所以，下次你在咖啡馆、机场或酒店看到那个带密码的Wi-Fi时，不妨多想一步：这个密码保护的是什么？我连上之后，数据会经过谁的手？如果答案不确定，打开VPN，或者干脆用手机热点。毕竟，密码可以贴在墙上，但你的银行账户密码不应该冒这个险。