Pevnost

VPN na veřejné Wi‑Fi: co reálně hrozí v roce 2026.

Blog · 19. 10. 2026 · 7 min

Stav k 19. 10. 2026: Pevnost je v soukromé betě. První server prg1 v Hluboké nad Vltavou (datacentrum WEDOS) běží od 18. října; první krátký test naměřil kolem 300 Mbit/s. Každý nový účet má dvě hodiny zdarma (jedna zkouška na připojení, jedno zařízení), pak 120 Kč za 30 dní nebo 1 200 Kč za rok. Platit jde Bitcoinem on-chain (preferujeme), kartou přes Stripe nebo převodem; Lightning plánujeme, Monero se chystá. Aplikace pro Windows 0.3.1 beta, pro Android 0.1.0 beta. Naposledy revidováno 19. 10. 2026.

„Nikdy nepoužívejte veřejnou Wi‑Fi bez VPN“ byla dobrá rada před patnácti lety, kdy přihlašovací údaje létaly kavárenskými sítěmi v otevřeném textu. V roce 2026 běží skoro všechno přes HTTPS a velká část strachu, který se prodává spolu s předplatným VPN, je zastaralá. VPN na veřejné Wi‑Fi má smysl i dnes, jen z užších důvodů. Tady je, co reálně zbývá, co VPN opraví a co ne.

Co se změnilo

Banky, e‑mail, e‑shopy i sociální sítě používají HTTPS, většina navíc s HSTS, které prohlížeči říká, ať se k nim nikdy nepřipojuje nešifrovaně. Aplikace ověřují certifikáty. Někdo ve stejné síti tedy nepřečte váš e‑mail ani relaci v bance, a reklama, která naznačuje opak, přehání.

Dvě poznámky k šifrování samotné Wi‑Fi. Heslo napsané na tabuli u pokladny (WPA2) chrání před lidmi z ulice, ne před ostatními hosty: kdo heslo zná, umí zachycený provoz ostatních dešifrovat. Novější sítě s Wi‑Fi Enhanced Open šifrují rádiový provoz i bez hesla. To zastaví pasivní odposlech, ale ne falešný přístupový bod, protože síť se vám nijak neprokazuje.

Kde HTTPS nestačí

HTTPS chrání obsah spojení s konkrétním webem. Mezery zůstávají na třech místech. Zaprvé první návštěva webu, který není v seznamu HSTS zabudovaném v prohlížeči: když napíšete jen adresu bez https, může první požadavek odejít nešifrovaně a útočník ho může přesměrovat. Zadruhé weby a zařízení, která dodnes běží jen přes HTTP, typicky administrace starších routerů, tiskáren nebo některé menší weby. Zatřetí aplikace, které certifikáty neověřují pořádně; těch ubývá, ale nezmizely. A nad tím vším leží DNS a metadata, která HTTPS neskrývá vůbec.

Co reálně hrozí

DNS

Hotspot vašemu zařízení přidělí vlastní DNS resolver. Ten vidí každé jméno, na které se zeptáte, a může odpovědět lživě: poslat vás na reklamní stránku nebo na web, který jen vypadá jako ten pravý. HTTPS podvrh u správně zabezpečených webů odhalí, seznam navštívených jmen ale zůstává u provozovatele sítě.

Metadata

Kdo síť provozuje, a to bývá externí firma, ne kavárna, vidí, ke kterým serverům se připojujete, obvykle i jména webů při navazování TLS spojení, a kolik dat přenášíte. Pokud se do sítě přihlašujete telefonním číslem nebo účtem na sociální síti, má ta metadata navíc vaše jméno.

Captive portály

Přihlašovací stránka hotelové, letištní nebo vlakové Wi‑Fi je obyčejný web, který provozuje ten, kdo provozuje síť. Musí se otevřít mimo tunel, protože dokud ji neodkliknete, internet nefunguje. Falešný portál může chtít heslo k e‑mailu „pro odemčení Wi‑Fi“. Skutečné heslo tam nikdy nepište.

Falešný přístupový bod (evil twin)

Útočník spustí přístupový bod se stejným jménem, jako má síť kavárny. Telefony se ke známým otevřeným jménům připojují samy. Útočník se tím stane vaším routerem: vidí DNS a metadata, servíruje falešné portály a zkouší weby, které ještě běží jen přes HTTP. Správné HTTPS vydrží, pokud neodkliknete varování o certifikátu.

Ostatní zařízení v síti

Pokud síť od sebe klienty neodděluje, ostatní hosté vidí vaše zařízení, často i jeho jméno („iPhone-Jana“), a mohou zkoušet otevřené služby, třeba sdílení souborů nebo vzdálenou plochu.

Co VPN opraví

Co o vás hotspot ví i s VPN

I se zapnutou VPN provozovatel sítě vidí, že jste připojeni, jak dlouho a kolik dat přenášíte, a že jde o šifrovaný provoz k našemu serveru. Vidí hardwarovou adresu vašeho zařízení a mnohá zařízení mu při žádosti o adresu (DHCP) pošlou i své jméno, třeba „Notebook-Novak“. Pokud jste se přihlásili telefonním číslem, e‑mailem nebo pokojem v hotelu, ví i to. VPN tedy hotspotu nebere informaci o tom, že tam jste. Bere mu informaci o tom, co děláte.

Co VPN neopraví

Postup, který funguje

  1. Když na tom záleží, dejte přednost mobilním datům nebo hotspotu z vlastního telefonu.
  2. Síť označte jako veřejnou (Windows se ptá), vypněte sdílení souborů a použijte náhodnou adresu Wi‑Fi.
  3. Připojte se, dokončete portál bez skutečných hesel a teprve pak spusťte VPN. Na Androidu může volba Blokovat připojení bez VPN načtení portálu zabránit; vypněte ji jen na dobu přihlášení a hned ji zase zapněte.
  4. Ověřte testem úniku, že DNS odpovídá 10.8.0.1.
  5. Po odchodu síť v zařízení zapomeňte, aby se příště samo nepřipojilo k falešné síti se stejným jménem.

Shrnutí

VPN na veřejné Wi‑Fi přesune DNS a metadata od provozovatele hotspotu k nám a znemožní falešné síti dostat se do vašeho provozu. Neudělá vás anonymními a nenahradí HTTPS ani zdravý rozum; zavře mezery, které HTTPS nechává otevřené. Co vidí váš domácí nebo mobilní operátor, rozebírá článek co uvidí váš operátor, když používáte VPN.