Wi-Fi爆出史上最大安全漏洞！所有路由器无一幸免：HTTPS加密没用

你每天在家、公司、咖啡店连的Wi-Fi，最近爆出了一个足以震动全球网络安全圈的重磅漏洞。安全研究人员近期披露了名为AirSnitch的新型攻击手法，它几乎能影响市面上所有的Wi-Fi路由器，哪怕是我们一直信赖的WPA3加密、HTTPS网站防护，在它面前也可能形同虚设，我们的上网数据正面临前所未有的泄露风险。

很多人可能会疑惑，之前也听过Wi-Fi漏洞，这次的到底有什么不一样？

以往的Wi-Fi安全问题，大多是黑客想办法破解加密算法，比如早年的WEP加密被彻底破解，后来的WPA2被发现握手漏洞，这些攻击都需要针对加密本身找破绽，随着加密标准升级，攻击难度也越来越高。但这次的AirSnitch完全换了个思路——它不破解加密，而是直接绕开所有加密保护，钻了Wi-Fi协议最底层的设计空子。

用个通俗的比方：我们上网发数据，就像寄快递，之前的加密相当于给快递盒加了个密码锁，黑客得先撬开锁才能看到里面的东西。而AirSnitch攻击，相当于黑客直接篡改了快递的收件地址和中转站信息，让快递先送到他手里，再原封不动地转给你。全程锁没被破坏，你完全察觉不到快递被人截过，但里面的账号密码、支付信息、聊天记录，早就被黑客看了个遍，甚至还能偷偷修改里面的内容。

这个漏洞的根源，是Wi-Fi网络栈底层的天生缺陷。Wi-Fi协议在设计时，没有用密码学手段，把设备的MAC地址、加密密钥、IP地址这三个核心身份信息强行绑定在一起。黑客就利用这个漏洞，轻松伪装成你家的路由器，或者伪装成你的手机、电脑，诱导路由器把本该发给你的所有网络流量，都错误地转发到他的设备上，实现完全双向的“中间人攻击”。

更让人担心的是，这个漏洞的影响范围几乎覆盖了所有Wi-Fi设备。它不是某一个品牌的代码写错了，而是整个Wi-Fi通信标准的普遍性问题，没有任何一家厂商能独善其身。

研究团队已经在市面上多款热门家用路由器上100%复现了攻击，包括TP-Link、华硕、网件、腾达、D-LINK等主流品牌的爆款型号，就连DD-WRT、OpenWrt这类受众广泛的开源路由器固件，甚至高校、企业用的专业级网络设备，都没能幸免。简单说，只要你用的是Wi-Fi网络，不管是家用、办公还是公共场所的，都在这个漏洞的影响范围内。

而且这个攻击的实施门槛极低，普通黑客也能轻松上手。

在家庭、公司这类有密码的私人Wi-Fi里，黑客只要拿到Wi-Fi密码，连上同一个路由器，不管是和你连同一个Wi-Fi名称，还是连同一个路由器的客人网络，甚至是不同的网段，都能轻松拦截同一台路由器下所有设备的上网流量。

在咖啡店、商场、酒店的公共Wi-Fi里，风险更是直接翻倍——黑客连密码都不需要，只要和你连上同一个公共Wi-Fi，就能直接发动攻击，无声无息地窃取你的身份验证信息、账号密码、支付验证码等敏感资料。

很多人会问：我访问的是带小锁图标的HTTPS加密网站，银行、支付软件都有自己的加密，这样也不安全吗？

很遗憾，就算是HTTPS加密，也没法完全挡住这个攻击。黑客虽然没法直接破解HTTPS的加密内容，但可以拦截你的域名查询流量，看到你到底访问了哪些网站，还能通过篡改路由器的DNS缓存，把你从正规网站骗到外观一模一样的钓鱼网站里，不知不觉间套走你的银行卡号、密码和验证码。换句话说，HTTPS能保护你快递盒里的东西不被拆开，但挡不住黑客把你的快递骗走，再给你换个假盒子。

目前最棘手的是，这个漏洞刚被正式披露，暂时还没有能彻底根治的技术补救措施。因为它是Wi-Fi协议底层的设计缺陷，不是简单给路由器更个新、打个补丁就能完全解决的，需要整个Wi-Fi行业调整协议标准，各大厂商也需要时间针对性地优化固件、补上防护缺口。

不过大家也不用过度恐慌，虽然这个漏洞危害很大，但我们只要做好这几件事，就能把被攻击的风险降到最低：

1. 给家里的Wi-Fi设置高强度密码。优先用“大小写字母+数字+特殊符号”的组合，别用生日、手机号、123456这类简单密码，这是挡住黑客进入你家庭网络的第一道门槛。

2. 尽量少连无密码的公共Wi-Fi。非必要不连公共场所免费、无需验证的开放Wi-Fi，实在要连的话，千万别用它进行网银转账、线上支付、登录重要账号，这些操作优先用手机流量。

3. 及时更新路由器固件。最近多留意你家路由器品牌的官网，或者手机管理APP，一旦厂商发布针对这个漏洞的安全补丁，第一时间更新升级。

4. 开启路由器的客户端隔离功能。登录路由器的管理后台，找到“AP隔离”“客户端隔离”的选项，把它打开，就算不能完全挡住攻击，也能给黑客增加一层阻碍，降低同一网络下设备被监听的风险。

5. 给重要账号开启二次验证。网银、微信、支付宝、邮箱这些重要账号，一定要开启短信验证码、动态令牌等二次验证功能，就算密码不小心被泄露，黑客也没法登录你的账号。

6. 上网时认准HTTPS网站。尽量访问网址前面带小锁图标的HTTPS加密网站，不要随便点陌生链接、扫不明二维码，避免掉进钓鱼网站的陷阱。

目前，全球网络安全机构和路由器厂商都已经开始针对这个漏洞推进补救工作，后续也会有更多的防护方案和补丁陆续推出。我们能做的，就是先做好日常防护，守好自己的上网安全底线，同时关注厂商的更新动态，及时补上安全缺口。