"Never use public Wi-Fi" was good advice in 2012, when many sites still sent passwords in plain text. Today almost every website and app uses HTTPS, which encrypts the content of what you send. Someone else on the café network can't read your messages or steal your bank password just by listening.
So is public Wi-Fi safe now? Mostly, with a few real exceptions worth knowing.
What HTTPS protects, and what it doesn't
- Protected: passwords, messages, card numbers, the pages you read on a site.
- Not fully protected: which sites you visit. Your device asks a DNS server to look up names like
mybank.com, and by default those lookups are sent unencrypted. Anyone running the network can see them, log them, or answer with a fake address.
The risks that remain
1. Evil twins. An attacker sets up a hotspot called "Airport_Free_WiFi" or the same name as the café's. Your device may even join automatically if it has seen that name before. HTTPS still protects the content, but the attacker controls DNS and can send you to phishing pages for sites that you type without HTTPS.
2. Captive portals. The "accept terms to continue" page is shown over plain HTTP. A fake portal can ask you to "log in with Google" or install a "security certificate" or "connection app". Real portals never need you to install anything.
3. Open networks with no password. On a network without a password (or with a password printed on the wall), other devices can see yours. Keep file sharing and similar services switched off.
Never install a profile or certificate to get onlineA configuration profile or root certificate lets whoever made it read your encrypted traffic. No legitimate café, hotel or airport needs one for guest Wi-Fi.
Easy steps that cover almost everything
- Turn on encrypted DNS. DNS-over-HTTPS (DoH) or DNS-over-TLS hides your lookups from the network and stops it from faking answers. Browsers have a "Secure DNS" setting; doing it system-wide covers every app.
- Forget networks you don't need so your device won't auto-join a look-alike later.
- Set the network as Public on Windows, which turns off discovery and sharing.
- Use your phone's hotspot for anything sensitive if you're unsure. Mobile data is much harder to fake.
- A VPN is optional, not magic. It hides your traffic from the local network and moves the trust to the VPN company. Useful on networks you don't trust; choose a reputable paid one or one run by a company you already trust.
At home, too
Encrypted DNS isn't only for travel. Your internet provider sees your DNS lookups at home as well, and in some countries uses them to log or block sites. Filtering DNS services such as Quad9 or Cloudflare's 1.1.1.2 also block known malware and phishing domains before your browser even connects.
What Agamemnon does
Agamemnon can switch the whole computer to encrypted DNS (DNS-over-HTTPS or TLS) with providers like Cloudflare, Quad9, Mullvad and AdGuard, including their malware-blocking options. On Windows it fails closed: if the encrypted connection drops, lookups stop rather than quietly leaking in plain text. On a Mac, it also warns you about open or weakly protected Wi-Fi networks as you join them.
"Asla halka açık Wi-Fi kullanmayın" tavsiyesi, birçok sitenin parolaları hâlâ düz metin olarak gönderdiği 2012'de iyi bir tavsiyeydi. Bugün neredeyse her web sitesi ve uygulama, gönderdiklerinizin içeriğini şifreleyen HTTPS kullanıyor. Kafe ağındaki başka biri yalnızca dinleyerek mesajlarınızı okuyamaz ya da banka parolanızı çalamaz.
Peki halka açık Wi-Fi artık güvenli mi? Çoğunlukla evet, bilinmeye değer birkaç gerçek istisnayla.
HTTPS neyi korur, neyi korumaz?
- Korunanlar: parolalar, mesajlar, kart numaraları, bir sitede okuduğunuz sayfalar.
- Tam korunmayanlar: hangi siteleri ziyaret ettiğiniz. Cihazınız
bankam.com gibi adları bir DNS sunucusuna sorar ve varsayılan olarak bu sorgular şifresiz gönderilir. Ağı işleten herkes onları görebilir, kaydedebilir ya da sahte bir adresle cevap verebilir.
Geriye kalan riskler
1. Kötü ikizler. Bir saldırgan "Havalimani_Ucretsiz_WiFi" adında ya da kafeninkiyle aynı adda bir erişim noktası kurar. Cihazınız o adı daha önce gördüyse otomatik olarak bile bağlanabilir. HTTPS içeriği yine korur ama DNS'i saldırgan kontrol eder ve HTTPS olmadan yazdığınız siteler için sizi oltalama sayfalarına yönlendirebilir.
2. Giriş portalları. "Devam etmek için koşulları kabul edin" sayfası düz HTTP üzerinden gösterilir. Sahte bir portal sizden "Google ile giriş yapmanızı" ya da bir "güvenlik sertifikası" veya "bağlantı uygulaması" kurmanızı isteyebilir. Gerçek portallar hiçbir şey kurmanızı gerektirmez.
3. Parolasız açık ağlar. Parolası olmayan (ya da parolası duvarda yazan) bir ağda diğer cihazlar sizinkini görebilir. Dosya paylaşımını ve benzeri hizmetleri kapalı tutun.
İnternete bağlanmak için asla profil ya da sertifika kurmayınBir yapılandırma profili ya da kök sertifika, onu yapan kişinin şifreli trafiğinizi okumasına izin verir. Hiçbir gerçek kafe, otel ya da havalimanı misafir Wi-Fi'ı için buna ihtiyaç duymaz.
Neredeyse her şeyi kapsayan kolay adımlar
- Şifreli DNS'i açın. DNS-over-HTTPS (DoH) ya da DNS-over-TLS sorgularınızı ağdan gizler ve ağın sahte cevap vermesini engeller. Tarayıcılarda "Güvenli DNS" ayarı var; bunu sistem genelinde yapmak her uygulamayı kapsar.
- Cihazınızın ileride bir benzerine otomatik bağlanmaması için ihtiyacınız olmayan ağları unutun.
- Windows'ta ağı Ortak olarak ayarlayın; bu, bulunabilirliği ve paylaşımı kapatır.
- Emin değilseniz hassas işler için telefonunuzun hotspot'unu kullanın. Mobil veriyi taklit etmek çok daha zordur.
- VPN isteğe bağlıdır, sihirli değildir. Trafiğinizi yerel ağdan gizler ve güveni VPN şirketine taşır. Güvenmediğiniz ağlarda faydalıdır; saygın, ücretli bir tane ya da zaten güvendiğiniz bir şirketin hizmetini seçin.
Evde de geçerli
Şifreli DNS yalnızca seyahat için değil. İnternet sağlayıcınız evdeki DNS sorgularınızı da görür ve bazı ülkelerde bunları siteleri kaydetmek ya da engellemek için kullanır. Quad9 ya da Cloudflare'in 1.1.1.2'si gibi filtreleyen DNS hizmetleri de bilinen zararlı yazılım ve oltalama alan adlarını tarayıcınız bağlanmadan önce engeller.
Agamemnon ne yapıyor?
Agamemnon tüm bilgisayarı Cloudflare, Quad9, Mullvad ve AdGuard gibi sağlayıcılarla, zararlı engelleme seçenekleri de dahil olmak üzere şifreli DNS'e (DNS-over-HTTPS ya da TLS) geçirebilir. Windows'ta güvenli tarafta kalır: şifreli bağlantı koparsa sorgular düz metin olarak sessizce sızmak yerine durur. Mac'te ayrıca bağlandığınız anda açık ya da zayıf korumalı Wi-Fi ağları konusunda sizi uyarır.
