本文已在微信公众号（imovie100，电影票比价平台）首发。
经常能看到网上一些文章大谈黑客利用公共Wi-Fi轻而易举就能获取你手机上的各种信息，再加上文章的各种渲染，给人一种极度神秘感。
而前天本人刚好又看到网易新闻转载的这篇文章。
小编一般都会用吸引人的标题来引导流量，这当然没问题，但如果建立在错误的信息上就不应该了。
这篇内容只是过度的渲染“黑客”如何牛逼以及神秘的入侵用户手机，但并没有给出一个专业性的限定范围，就给人一种无物不侵的错觉，就如同这篇文章会出现如下回复。
支付宝什么的分分钟盗掉？大师收我为徒吧~
错误的信息流加上对事物的不专业性，极容易导致错误流言。针对上面的评论，我准备了一段文字回复，但是却没发表成功，可能是网易屏蔽了较晚的评论？
考虑到网上这些内容非常多，而且极易被人误导。今天我就花点时间给大家解释一下该如何理解公共Wi-Fi的安全性。（建立在我所认知的有限范围内，但想必也足够了）
友情提示：接下来可能涉及到一丁点专业知识，小白用户可直接跳转到总结部分。
什么是不安全的公共Wi-Fi？
在没有坏人的理想世界中，也就没有不安全这个概念，而大部分公共机构也并不会做一些坏事，比如监听用户数据等。
之所以不安全，是因为有人会利用公共Wi-Fi监听你的通信内容。
它们如何做到获取用户的数据？
在互联网世界中，所有内容都是建立在底层的数据请求与回复之上的，比如你要获取一个网页，那么就要先发出一个网页请求，请求与回复都是通过一个专门的传输管道来传输的。
这里的传输管道是指可以传播数据的媒介，常见的包括电话线，光纤，路由器等等。
举个例子，你开车从深圳去北京，如果把车看做是数据包，那么公路就是管道，而高速公路就是传播速度非常快的管道（比如光纤）。
互联网的管道机制跟高速公路类似，也有“收费站”，因为你的请求必须经过“收费站”才能知道接下来应该往哪个方向走。
而距离我们最近的公共Wi-Fi路由器就是第一个“收费站”，专业名称为【网关】，我们的所有请求都会通过这个网关，也就是说它能够获取你的所有请求与回复。
看到这里大家应该有些明白了，“黑客”可以通过模拟一个公共Wi-Fi作为网关，只要你连接上去，那么你所有的访问请求与回复都会经过它，并能被它获取。
事实上，这就是“黑客”的做法，通过使用自己可以控制的无线设备去模拟一些公共Wi-Fi，误导用户连接，这样就能获取该用户的一切互联网交互行为。
哪些数据是能被真正截取的？
讲到这里才算是进入主题，虽然网关能拦截各种互联网请求与回复，但并不意味能被“黑客”有效利用，前提是这些数据没有被加密过。
也就是说，如果数据加密而你又破解不了，那么这些数据就是毫无用处的。
那么数据的加密性到底如何呢？
绝大部分的互联网行为实际上都可分为两类：浏览器请求与app请求。
其实在几年前，智能机还不普及的时候，那个时候app十分稀少，几乎所有网络请求都来自于浏览器，也就是访问网页。那时像百度这种搜索公司的日子可谓非常滋润，因为互联网始终都是一个流量为王的世界，如果用户都通过网页进行搜索访问的话，基本上是避不开百度的，那么百度就能获取大量的访问流量，广告费自然就赚的盆满钵满。可近几年随着app崛起，百度的日子就没那么好过了，因为app会瓜分掉一部分流量，比如现在在网上订餐，谁会用百度搜索？都是直接打开app进行搜索，比如美团，饿了吗这种o2o平台。这也就是为什么百度宁愿砸200亿也要把糯米扶持起来，就是为了能在app的流量世界中分得一瓢。可以想象的是，未来会有越来越多的搜索行为都将在app中完成，很多细分领域都会在app进行流量导向。
浏览器请求主要就是网页请求，而网页请求可根据加密行为又分为两类：
http请求
大部分网页都是使用的http协议，这类请求在传输过程中内容不会被自动加密，也就是说你获取到的数据基本上都是明文的。如下图果壳网的请求，就是使用的http协议。
这类请求一旦被截获，就能被一览无遗。
而为什么“黑客”能获取你的用户名和密码？设想一下，如果你在登陆这些网站的时候，请求中就包含了用户名和密码呢？
就算是密码专门加过密也没关系，如果我聪明一点，根本不care你的密码是多少，我只要记录下回复请求中的SESSIONID与各种主要COOKIE，然后我会打开自己的浏览器，模拟这些SESSIONID与COOKIE，那么就会自动登录你的账号，接下来就是用你的账号为所欲为了（千万别告诉别人是我教你的）。
https请求
一般来说，涉及到敏感数据的请求都会使用https协议，其实就是在http协议上加上了一层加密行为，也就是你的请求与回复数据会被自动加密，这样就算被拦截也无法进行破解，所以内容本身是安全的。如下图所示：
除此之外，还有些网站为了防止用户的恶意访问，连请求本身都会加密，如果破解不了加密规则，就不能返回正确的数据，比如淘宝。。。别问我是怎么知道的。。。
app请求
这类请求的加密性基本上就是各显身手了，不同的app加密级别差异巨大，比如支付宝和微信，想要破解几乎是不可能的。但有些app的保密级别也很差，基本上还得看开发app的厂商有没有良心了。
值得一提的是，app很多依旧使用的是http请求。
小白预防措施
对于小白用户来说，如何提防才是关键，大概有这些方法可参考：
- 不使用公共Wi-Fi（应该不会被大部分小白们采纳）
- 公共场所连接Wi-Fi时，务必看清楚名称，认准官方Wi-Fi源头，比如星巴克的官方Wi-Fi 名称starbuck，不要想当然的就连接上statbuck等故意冒名的Wi-Fi源。
- 使用公共Wi-Fi时尽量只使用那些加密性非常高的应用，如微信，支付宝。
总之，不要养成有公共Wi-Fi就连接的习惯。不连接你不会损失什么，连接上反而有数据被盗的风险。除非大流量行为，比如观看视频等。无须实时蹭网，否则谁蹭谁还不好说呢。
总结
看完上面所讲，想必大家会有个理性的认知了。通常来说，在公共Wi-Fi被黑之后，危险性最大的是浏览器http请求，其次是一些不靠谱的app请求。而所有“黑客”能获取到的数据，都必须基于你的互联网行为，如果没有任何互联网交互，那么对方也就获取不了任何信息。
很可笑的是，居然有很多人认为黑客会直接控制手机，获取手机主动权，简直是大夸其词，要知道，“黑客”最多只能通过被动的方式去触发行为，比如在http请求返回的数据中添加一段无限循环的恶意脚本，然后你的浏览器可能就会永无止境的弹框等等。。。而一旦使用https加密协议，这些也就不可能做到。
本文“黑客”都加了引号，在很多人眼里这固然是黑客的行为，但了解后又觉得黑客应该更高级一些，期望总是在不断的提高，可能现在认为的“黑客”在未来也会感觉不是黑客了吧。
题外话
最近又有一条消息：通过假冒无线电脑鼠标和键盘可在100米内入侵笔记本电脑，这些设备包含至少七家大厂商，包括罗技、微软、亚马逊。
本质上就是模拟发送无线鼠标或键盘的数据包请求，让电脑误以为是真实的鼠标/键盘操作。（因为漏洞表明：适配器无法识别数据包是由真实鼠标发送的还是由攻击者发送的）
听上去很吓人，但实际作用范围也有限，必须得满足以下几个条件：
- 目标用户必须使用带有无线鼠标或无线键盘的设备，所以手机用户大可不必操心。
- 由于是远程控制鼠标或键盘，中途很有可能被目标用户切入打断，所以黑客还得找一个合适的位置能实时观察用户的行动，以免被发现。
但以防万一，还是尽量不要在公共场所办公，毕竟这只是其中的危险之一。
相关图片来自于互联网