📶 Эта новость появилась с утра, но мы пишем о ней только сейчас — весь день мы собирали дополнительную информацию, потому что нам она, новость, показалась неоднозначной. Итак.
Максима-телеком сегодня утром
объявила о запуске в метро новой Wi-Fi сети. Подключиться к ней просто так нельзя: сначала нужно установить специальный доверенный сертификат (сделать это пока получится только на айфоне). Зачем это нужно, спросите вы? Дело в том, что в вагонах теоретически могут ездить злоумышленники, которые со своих устройств тоже раздают Wi-Fi, причём он тоже называется MT_FREE. Если вы по ошибке подключитесь к такой сети, то злоумышленник получит доступ к вашему трафику — логинам, паролям и всему прочему. Даже если он зашифрован.
Именно эту проблему должен решить доверенный сертификат Максимы-телеком — он не даст телефону подключиться к фейковой сети.
Звучит с одной стороны прекрасно, а с другой — страшно. Описанный механизм на первый взгляд очень похож на классический вид криптографической атаки «
Человек посередине». Вряд ли нам уместно тут объяснять, как он работает, но в данном случае успешное применение этой атаки означает, что к вашим данным (опять же, даже зашифрованным) имеет доступ уже сам провайдер — Максима-телеком.
Мы спросили у пресс-службы Максимы-телеком, подразумевает ли использование их доверенного профиля установку SSL-сертификата — именно он нужен для организации атаки. Да, — ответила пресс-служба. — Но: «область применения таких сертификатов жестко ограничивается на уровне операционной системы, и сертификат может быть использован только для аутентификации при подключении к Wi-Fi сети. И не может быть использован для других целей».
Мы стали искать независимых экспертов по информационной безопасности, чтобы получить от них комментарий. Добыть комментарий, который бы расставил все точки над i, нам так и не удалось, но, пообщавшись с ними, мы поняли следующее: комментарий пресс-службы выглядит непротиворечиво. А чтобы подтвердить его полностью или опровергнуть, нужно провести специальное исследование. Ещё одно подобное мнение было высказано
здесь.
В итоге, новая сеть вроде бы не угрожает безопасности ваших данных. Но строгого и независимого доказательства этому тезису пока нет. Мы будем следить за новостями на эту тему и, если подобное доказательство появится, обязательно сообщим.