在咖啡厅、机场或酒店连接公共 WiFi 时，很多人已经养成检查浏览器地址栏是否有“锁”图标的习惯。HTTPS 确实能加密你与网站之间的通信，但它并非万能。中间人攻击（MITM）可以在你毫无察觉的情况下窃取信息，即使连接看似安全。
HTTPS 能防什么，不能防什么
HTTPS 通过 TLS 协议对传输数据加密，并验证服务器身份。这可以防止同一网络下的攻击者直接嗅探明文密码或聊天内容。但它无法阻止以下情况：
- 伪造证书：如果攻击者能让你信任一个自签名的假证书（例如诱导你安装根证书），HTTPS 连接也会被解密。
- 降级攻击：部分老旧客户端可能被强制使用弱加密套件。
- 域名欺骗：攻击者搭建一个与真实网站几乎一样的钓鱼页面，使用有效的 HTTPS 证书（例如
paypa1.com而非paypal.com），你很难肉眼分辨。 - 元数据泄露：HTTPS 不隐藏你访问了哪个域名、数据包大小和时序，攻击者仍可推断你的行为。
公共 WiFi 下最危险的操作
- 登录没有 HTTPS 的网站或服务：任何 HTTP 明文传输的登录表单，密码可被直接截获。
- 忽略证书警告：浏览器提示“证书无效”时点击“继续访问”，等于主动放弃 HTTPS 保护。
- 使用同一密码登录多个重要账户：一旦某个网站被中间人攻破，撞库会危及邮箱、网银等。
- 进行网银转账或支付：即使有 HTTPS，钓鱼页面也可能诱导你输入短信验证码和密码。
- 传输敏感文件或公司内部数据：未加密的 FTP、SMB 共享或内部 HTTP 系统在公共网络下风险极高。
如何降低中间人风险
- 使用可信的 VPN：VPN 在设备与 VPN 服务器之间建立加密隧道，公共 WiFi 上的攻击者只能看到加密流量。注意选择正规付费 VPN，避免免费 VPN 窃取数据。
- 强制 HTTPS：安装浏览器扩展如 HTTPS Everywhere（或使用浏览器内置的“始终使用安全连接”设置），减少降级到 HTTP 的可能。
- 不安装未知根证书：任何要求你安装证书才能上网的公共 WiFi，都应视为可疑。
- 开启多因素认证（MFA）：即使密码泄露，攻击者仍需第二因素才能登录。
- 关闭自动连接和文件共享：在系统设置中关闭“自动加入已知网络”和“文件和打印机共享”。
- 敏感操作改用手机热点：进行网银、公司 VPN 登录等操作时，使用手机蜂窝数据比公共 WiFi 更安全。
总结
HTTPS 是必要的，但不是充分的。在公共 WiFi 下，真正的风险往往来自证书欺骗、钓鱼网站和用户自身的疏忽。保持系统更新、不忽略证书警告、使用 VPN 和多因素认证，才能有效抵御中间人攻击。记住：没有绝对安全的公共网络，只有更谨慎的使用习惯。