为什么没有加密的网络非常危险

去年秋天，我回老家参加表弟的婚礼。宴席散场后，表弟拉着我去酒店大堂的休息区，说要把婚礼照片原图传给我。他掏出手机，连上酒店那个叫“GrandHotel_FreeWiFi”的热点，输入手机号验证码，然后开始往网盘里拖拽几十张高清照片。我坐在旁边，顺手打开笔记本想查一封工作邮件——结果浏览器弹出一行刺眼的红字：“此连接不是私密连接。”

我愣了一下，抬头问表弟：“你刚才连这个WiFi，有没有让你输银行卡或者登录什么账号？”他头也没抬：“就登了个网盘啊，还有微信自动连上了。”我让他立刻关掉网盘上传，断开WiFi，用手机流量重新传。他一脸茫然：“至于吗？酒店WiFi不都这样？”

至于。太至于了。那天晚上我花了半小时给他演示了一个东西——用一台普通笔记本电脑、一个几十块钱的无线网卡，在酒店大堂坐十分钟，就能看到同一个WiFi下多少人在“裸奔”。表弟看完之后，默默把手机里所有需要密码的App都改成了“仅蜂窝数据”。

那个叫“免费WiFi”的陷阱，远比你想的普遍

很多人对“没有加密的网络”的理解停留在“别人可能蹭我网速”。这就像以为小偷进你家只为了用你的电吹风。实际上，未加密的WiFi（以及所有不经过VPN等加密隧道的明文传输）意味着你发出的每一个数据包，都像明信片一样在空气中飘——谁捡到都能读。

场景一：咖啡馆里的“中间人”

我有个做渗透测试的朋友，他接的私活里有一类叫“公共WiFi安全评估”。他最常去的是市中心那家连锁咖啡馆，点一杯美式坐一下午，架一台伪装成“Cafe_Free_WiFi_2”的热点。半小时内，平均有七八台设备自动连上来——因为很多人手机里存着“Cafe_Free_WiFi”这个SSID，设备会自动连接同名或相似名的热点。连上之后，他不需要做任何高深操作，只需要跑一个常见的抓包工具，就能看到：

• 有人登录某电商平台，账号密码在HTTP表单里明文提交；
• 有人刷短视频，浏览记录和搜索关键词一览无余；
• 有人用某款老旧的邮件客户端收信，邮件正文直接可读；
• 甚至有人打开网银App——虽然App本身有TLS加密，但DNS查询是明文的，他访问了哪个银行的域名、什么时间访问的，清清楚楚。

这些信息单条看不算致命，但拼在一起就是一份完整的用户画像：姓名、手机号、常去地点、消费习惯、社交关系。我朋友说，他做评估时最怕看到有人连上WiFi后第一件事是打开公司OA系统——“那里面可全是内部通讯录和审批流。”

场景二：酒店房间里的“隔壁老王”

回到我表弟那件事。酒店WiFi通常有一个“ captive portal ”认证页，输手机号拿验证码。很多人觉得“有验证码就安全了”。错。验证码只证明你有一个手机号，不证明这条链路是加密的。认证通过后，你的设备与AP之间的空口传输依然是明文——除非你访问的网站强制HTTPS，否则同一网段下任何一台设备都能嗅探。

更阴险的是“ evil twin ”攻击：攻击者架一个同名热点，信号更强，你的设备优先连它。你看到的认证页和真的一模一样（克隆一个静态页太简单了），你输手机号、输验证码，攻击者后台实时收到，然后转发给真热点完成认证——你正常上网，他拿到你的手机号和验证码，后续可以撞库、可以发诈骗短信、可以注册各种需要手机验证的服务。

我表弟听完这个流程，问了一句：“那我传照片的时候，别人能看到照片？”我说：“如果你用的是HTTP网盘接口，照片原图都能被还原；如果是HTTPS，至少能看到你传了多大文件、什么时候传的、传给了哪个域名。”他沉默了一会儿：“那我微信呢？”我说微信本身有加密，但你在那个WiFi下登录微信网页版试试？扫码登录的token在明文信道里传，被截获就能会话劫持。

为什么“加密”这件事，普通人总觉得离自己很远

因为危险是隐形的。你被偷了钱包，立刻知道；你被嗅探了密码，可能三个月后收到一封“您的账号在异地登录”的邮件，还以为是平台泄露。更常见的是，你的信息被打包卖了好几手，你接到精准诈骗电话时，对方能说出你上周买过什么、住在哪个小区，你才后脊发凉。

那些“不加密”的角落，比你想象的多

很多人以为“我只上大网站，都是HTTPS，没事”。但HTTPS只加密你到网站服务器这一段。你到路由器这一段、路由器到运营商这一段、运营商到CDN这一段，任何一段没有加密，都是缺口。而公共WiFi恰恰是“你到路由器”这一段完全裸露。

更别提那些还在用HTTP的老旧系统：部分政府办事网站、学校教务系统、中小企业OA、医院挂号页面、甚至一些智能家居设备的配置后台。你连上公共WiFi打开这些页面，等于把账号密码写在纸上举过头顶。

还有DNS。你输入“www.某银行.com”，设备先问DNS服务器“这个域名对应哪个IP”。这个查询默认是明文的。攻击者篡改DNS响应，把你导向一个一模一样的钓鱼站，你输密码，他收密码。你以为你连的是银行，其实连的是隔壁桌那台电脑。

“我就连一下，又不干嘛”——这句话害了多少人

我见过最离谱的案例，是一个创业公司CEO在机场连免费WiFi处理融资协议。他以为“我就发个邮件附件”。结果那封邮件附件里是Term Sheet，包含估值、股权比例、对赌条款。攻击者没解密邮件内容（邮件服务器之间有TLS），但通过明文DNS和流量分析判断出他在用某企业邮箱、附件大小、发送时间，结合他公开的行程信息，在下一轮谈判前给竞争对手透了底。他后来查了三个月才隐约猜到是机场WiFi的问题。

这不是电影情节。流量分析不需要解密内容，只需要知道“谁在什么时候和谁通信、通信量多大”。这些元数据在未加密网络里完全暴露。

VPN不是万能药，但没有VPN是万万不能

写到这里必须说清楚：VPN不是让你“隐身”，它是给你建一条加密隧道。你设备到VPN服务器之间的所有流量，在公共WiFi那段空口上全是密文。别人抓包只能看到“这人在和某个IP传加密数据”，看不到你访问了什么、提交了什么。

什么时候必须开VPN

我的习惯很简单：只要连的WiFi不是我自己家的、不是公司IT部门管的核心网络，VPN默认开启。酒店、机场、咖啡馆、商场、高铁、展会——一律开。甚至有些小区宽带我都不放心，因为楼道里的光猫和路由器谁动过手脚你根本不知道。

具体场景：

• 登录任何账号（邮箱、社交、网银、公司系统）之前，先确认VPN已连接；
• 处理工作文件、访问内部系统，VPN是硬性前提；
• 即使只是刷网页，也开着——你不知道哪个页面会加载一个HTTP的第三方脚本，把你的cookie漏出去。

选VPN时看什么

别用那种“免费VPN”。免费VPN的商业模式就是卖你的流量数据——它自己就是中间人。看三点：有没有明确的“无日志”政策且经过第三方审计；有没有kill switch（VPN断线时自动断网，防止流量漏出）；协议是否现代（WireGuard、OpenVPN，别用PPTP这种老古董）。

另外，别迷信“企业VPN就安全”。我见过不少公司VPN只加密到公司网关那一段，出了网关访问公有云还是明文。所以个人层面，我建议在设备上常备一个可信的商业VPN，作为公共网络下的默认出口。

那些不花钱的补救措施

如果实在没有VPN，至少做到：

• 关闭设备“自动连接开放WiFi”功能；
• 浏览器装HTTPS Everywhere类扩展，强制HTTPS；
• 手动把DNS改成加密DNS（DoH/DoT），比如Cloudflare或Quad9；
• 不在公共WiFi下登录任何带支付功能的账号；
• 用完公共WiFi后，在系统里“忘记该网络”，防止下次自动连上同名钓鱼热点。

但这些是补丁，不是铠甲。真正管用的，还是那条加密隧道。

最后说回我表弟

婚礼结束第二天，他给我发微信：“哥，我昨晚把手机里所有银行App都设成‘仅WiFi下不可用蜂窝数据优先’了，还买了个VPN。”我回他：“你那个VPN先别急着买年费，先试试连酒店WiFi开VPN和不开启，分别访问一个查IP的网站，看看显示的IP是不是你真实所在地。”十分钟后他发来截图：不开VPN显示“XX省XX市”，开了VPN显示“日本东京”。他说：“我靠，原来我一直在裸奔。”

对，裸奔。没有加密的网络就是数字世界的裸奔——你以为穿着衣服，其实在别人眼里纤毫毕现。而VPN就是那件你出门前随手披上的外套：不保证你绝对安全，但至少让路过的人没法一眼看穿你口袋里装了什么。在这个连酒店大堂都有人架伪热点的年代，这件外套，建议你常穿。