如果您不使用 VPN，那么您访问的每个发送或接收任何敏感信息（尤其是密码）的站点都应该是 HTTPS 而不仅仅是 HTTP。HTTPS 中的“s”代表由 TLS 握手和加密提供的安全。实际上，当使用 TLS（即 HTTPS，我在这里可以互换）时，您实际上是在为每个站点使用单独的 VPN。

可能值得添加关于为什么这是良好做法的评论。使用任何公共热点时都有几个问题。首先是其他一些 Wi-Fi 用户已将他们的设备（笔记本电脑、电话等）配置为接收从附近系统广播的所有流量。如果热点被正确配置为使用加密，也可以防止这种情况发生，但这并不完全值得信赖，因为旧的 Wi-Fi 加密协议是可攻击的。

第二个风险是热点设备本身已被入侵。发生这种情况的方式有多种，包括无线网络、有线网络和物理访问。另一种攻击是欺骗热点，使用户连接到攻击者的系统而不是合法服务。

与其尝试评估每个无线环境的安全性，我建议您了解与您使用的每项 Internet 服务的通信安全性，并针对任何与您不希望公开披露的信息进行通信的内容迁移到 TLS。无线和有线连接都应遵循此习惯，因为它还可以防止（通常很少见）从有线 Internet 暴露数据的攻击。

我突然想到要添加一些免责声明：

本次讨论是关于传输中的数据。不要仅仅因为您的数据在传输过程中被加密就认为您的数据在目标服务中得到了很好的保护。一旦到达目的地，这种保护就会丢失，而其他保护必须到位，以便在远程站点处理和存储敏感数据。

此外，您可能已经看到有关 TLS 问题的头条新闻。这些是关于协议的特定实现或旧版本的。如果服务提供商已正确更新和维护他们的系统，并且您正在使用现代的更新软件（例如让您的浏览器软件保持更新），则 TLS 是一个非常强大且完全可靠的协议。

这完全取决于 Wi-Fi 服务本身的安全性：它使用 WEP、WPA、WPA2 吗？（WEP、WPA 和 WPA2 无线加密之间的区别（及其重要性）

用户面临的另一个问题是，就像在公共场所一样，任何攻击者都可以使用火车上提供的免费 Wi-Fi 设置恶意接入点来监控他们的在线活动。

附言

有趣的阅​​读：WEP 漏洞和攻击。

据我所知，即使您使用加密连接的应用程序，您的个人信息也可能由于大多数应用程序中弹出的第三方广告而泄露。这些信息可能包括您的 iOS 版本、您的设备信息、您的服务提供商、您的显示语言，以及最重要的信息：您正在打开的应用程序、您当前的城市和国家/地区。这是因为这些第三方广告没有加密，因此您的个人信息很容易受到称为中间人的攻击类型。

如果您正在做任何敏感的事情，那么是的，只要您连接到任何类型的公共 WiFi/802.11 网络，您就应该使用 VPN。当涉及到人性时，仅依靠使用 TLS 的 HTTPS 是不够的（我们往往会变得自满/舒适而忘记保持警惕）。

要清楚，除非你

• 访问安全站点时，始终将 HTTPS:// 放在 Web 浏览器中，并且
• 在输入密码或访问敏感信息之前，检查您通过 TLS 连接的每个时间/页面

如果没有安全的 VPN 替代方案，您将很容易受到攻击。如果人们诚实地评估他们是否遵循这些要求，很少有人（如果我们有的话）可以回答他们这样做。

即使连接到安全网站，大多数人也不会输入以“HTTPS://”开头的完整 URL。相反，他们通常会键入“google.com”之类的内容并按 Enter，这取决于（通常不知道）此默认请求是通过 HTTP 进行的，并且会将它们重定向到 HTTPS 资源。

现在，在设备伪装成公共 WiFi 网络（并可能拒绝访问真实 WiFi 网络）的情况下设置中间人攻击相对简单。当检测到重定向到 HTTPS 资源时，攻击者将与服务器建立 TLS 会话，但继续通过 HTTP 将信息发送到客户端。

这与许多应用程序交付控制器（又名负载平衡器）在硬件中执行 SSL/TLS 终止时发生的相反操作。执行这种攻击只需要大约 100 美元的硬件、一点知识和人性。

如果您想确保安全，请假设人性会胜出，并在公共 WiFi 网络上使用 VPN。