Morten Lyhne Petersen
Kodeordet på routeren beskytter dig ikke så meget, som du tror.
Alle der har din WiFi-adgangskode, kan i praksis se hvilke enheder der hænger på nettet, og hvilke domæner de tilgår. Det gælder også hjemmefra, hvor gæster, håndværkere og logerende typisk får koden udleveret uden videre.
Selve indholdet af det du læser eller streamer, er som regel krypteret via HTTPS. Men netværket ved stadig, at trafikken går til netflix.com, dr.dk eller dba.dk, fordi domænenavnet slipper ud i klartekst flere steder undervejs.
HTTPS beskytter indholdet, ikke destinationen
HTTPS er den lås der forhindrer aflytning af selve kommunikationen mellem browseren og et website. Ifølge Electronic Frontier Foundation forhindrer protokollen, at aflyttere ser indholdet af ens e-mail, chat, login-oplysninger, søgeord og kreditkortnumre.
Til gengæld har låsen huller, som få almindelige brugere kender til. EFF slår fast, at HTTPS ikke er et anonymitetsværktøj, og at aflyttere fortsat kan se, hvorfra man forbinder, og hvilke sider man forbinder til.
Det betyder, at en person med adgang til det samme WiFi kan aflæse, at der bliver streamet noget fra Netflix, uden at vide hvilken serie. Og at der bliver logget ind på en netbank, uden at kunne se selve kontoen.
DNS er den store sladrehank
Den primære utæthed hedder DNS. Hver gang en enhed skal finde ud af, hvor et domæne bor på internettet, sender den et opslag ud på netværket, og som standard sker det uden kryptering.
Cloudflare beskriver problemet direkte: alle mellem enheden og den DNS-resolver, opslaget sendes til, kan snage i eller ændre trafikken. Det gælder ens lokale WiFi-netværk, internetudbyder og transit-udbydere. Det er præcis den situation, der opstår, når naboen eller barnepigen sidder på den samme router.
En yderligere lækage findes i det såkaldte SNI-felt, som browseren sender ved starten af hver HTTPS-forbindelse. Cloudflare beskriver, at SNI lækker identiteten af den server, klienten vil forbinde til, og at det giver observatører et klart signal om, hvilke sider brugeren besøger. Selv en teknisk uskolet person kan med gratis netværksværktøjer få det billede frem.
Det kan afsløre alt fra streamingtjenester og datingsider til sundhedsportaler og fagforeningssites, uden at der er brudt en eneste kryptering.
Sådan lukker du hullet
Første trin er at aktivere krypteret DNS på de enheder, der bruges mest. Store browsere som Chrome, Firefox og Edge understøtter DNS over HTTPS, hvor opslagene pakkes ind i almindelige HTTPS-forespørgsler og sendes over port 443. Det betyder, at trafikken er svær at skelne fra al anden krypteret web-trafik på netværket, så den lokale router ikke længere kan læse domænenavnene.
Nyere versioner af Windows, macOS og iOS har også indbyggede indstillinger for krypteret DNS, som kan slås til uden ekstra software. Enhver enhed, hvor det ikke aktiveres, fortsætter dog med at lække domæner ud på det lokale WiFi.
Vil man også skjule IP-adresserne på de servere, der forbindes til, kræver det et ekstra lag. En VPN-tunnel sender al trafik krypteret ud til en fjernserver, så netværkets ejer kun ser en enkelt destination i stedet for hele browsingmønsteret. VPN er heller ikke et anonymitetsværktøj i sig selv, men det flytter, hvem der kan se hvad.
Krypteret DNS og eventuelt en VPN gør ikke gæsteværelset til Fort Knox. Men de fjerner den mest oplagte utæthed ved at dele en WiFi-kode, nemlig at alle på nettet uden videre kan aflæse, hvilke sider man kigger på.
