透過免費 Wi-Fi 使用手機中的各種錢包安不安全？
有新聞報道有人因為用了免費WiFi支付寶（或者是餘額寶）里的錢就不見了
怎樣能辨別哪些是安全的WiFi呢？
反對目前排名第一的答案。
首先root之後的Android並不是不安全的，相反地，不root的Android才是最危險的，畢竟正常的root都有授權管理，惡意攻擊者完全可以自己提權到root而不驚動用戶去申請已有的root，它也會的確這麼做。還是重複我之前描述過的情形，root之前你就是赤手空拳對付惡意應用，root之後你至少有了一把武器。WIFI安全不安全在安卓上和有沒有root沒有任何關係！！！甚至說root之後反而安全些，因為有了保護自己的手段。
其次，攻擊者為什麼非要去執著在解密你的HTTPS流量？通過釣魚WIFI植入木馬，進而走簡訊驗證碼劫持的流程重置你的賬號，或者利用本地提權漏洞獲取root後直接肢解支付寶（例如最近的TowelRoot，通殺4.4及以下版本）豈不是更方便？這方面研究已經不是什麼平常事，還是推薦下諸葛老師的視頻：如何從釣魚wifi獲取你的支付寶登錄和支付密碼《每周質量報告》 20140615 移動支付的隱憂
最後，很遺憾地說，HTTPS證書代碼驗證問題還是比較普遍的，某些大公司中也隨處可見，包括排名第一的這個同學很信任的這家電商公司，不能說的太明顯，只能說不要高估普通開發的安全意識。特別是很多開發喜歡copy-paste development，導致一份有安全問題的代碼片段到處流傳。
關於免費Wifi中移動支付是否安全的問題，只能說提高警惕，不越獄的iOS會好一些。如果為了完全謹慎起見，支付時完全可以切換到3G/4G流量進行。說到這個就不得不說app靠什麼加密保證數據安全了，騰訊部分app包括qq，微信利用自有的加密協議，大部分錢包類app利用的是SSL／TLS協議加密。
具體手段就是利用客戶端和伺服器端利用數字證書驗證雙方身份＜有時會只在客戶端驗證伺服器身份＞，然後用證書綁定的密鑰協商一個加密密碼＜細節可參考公鑰加密技術＞手機碼字不容易啊，見諒，，在數學模型中，如果利用雙向認證技術，傳送的信息是絕對安全的，而單向認證技術＜目前大部分郵件，網銀，錢包＞均採用這項技術，對中間人攻擊是脆弱的＜參見sslstrip中間人攻擊，2011年黑帽大會，而且，目前大部分app對安全協議庫的引用都是存在問題的，＜見ccs論文，why eve like android＞.這就造成了，目前大部分app對中間人攻擊的抵禦是無效的。樓主提出的問題是在公用場合利用免費wifi，實際上，你的信息會經由他人路由器出現在internet，而伺服器信息也會經由該路由器到你的手機app，這個過程就為中間人攻擊提供了便利，假設你正連在黑客的無線路由上，他對你是完全可以實施中間人攻擊的，這時候，理論上安全的pki加密體系＜ssl／tls協議正是基於這個體系，而該協議是目前手機app主流的安全協議＞也會受到中間人攻擊，
所以說，公共環境下使用wifi巨不安全，錢包神碼的盡量別用
感謝各位同學的指正，對於app對於sslstrip的防護，我們可以做更多的測試，才能下結論，而且無論如何，國外app的測試結果並不能完全套用到國內，而對於劉然同學的指證，確實論文太久沒複習，而且手機碼字不易，情況確實沒我所描述那麼嚴重，但安全這個東西本來命中的概率也低（遭遇黑客中間人攻擊或各類型攻擊，牛黑客畢竟太少，而且進行靈活中間人攻擊也需要很強的編程功底），但命中概率低並不能表示就是安全，下面推薦兩篇ccs論文供大家閱讀
CCS2012 Why Eve and Mallory Love Android: An Analysis of Android SSL (In)SecurityCCS2012 The Most Dangerous Code in the World: Validating SSL Certificates in Non-Browser Software當深度理解我的這個回答：
透過公共 Wi-Fi 熱點上網可能會面臨哪些安全風險？如何保障安全？
同時，對這些錢包進行實測的話，才有話語權。只要你不去 root/越獄 你的手機，隨便用WIFI都是基本安全的。否則，你怎麼用都是不安全的。（註：該條針對一般用戶，如果你完全明確你root後在做什麼，可以略過本文，謝@臨池的建議）
關於為什麼不安全，參見我的這個答案：手機root或越獄到底有多危險？
----
支付寶錢包等在傳遞敏感信息時是會使用SSL加密的。如果你不信任免費WIFI中繼你的信息，那麼你也不能在家用電腦上支付寶。事實上你傳輸的信息對途中每個躍點都是可見的，即便這些節點都是完全可信的，你也可能在PPPoE撥號上網時被人劫持流量，從而看到你發送的信息。SSL的安全性就體現在當信息對中間傳話的人完全可見的時候，密文信息仍然不能被讀取或篡改，雖然這東西也出過岔子，但總的來說仍然是很值得信任的。
----讓我來用淺顯的方式解釋一下這個過程為什麼安全，為了能讓沒有密碼學基礎的盆友們理解這個過程，我做了一些不恰當的比喻，請懂的人輕拍：伺服器如何確保用戶安全的向自己傳遞信息？形象的說，就是寄給用戶一個用戶可以打開的，裝有一個自己可以打開的保險箱的保險箱，這就是伺服器的證書，如圖：
----------------------
接著，用戶使用根證書驗證伺服器證書的有效性，獲得伺服器的公鑰。
綜上，不要以任何形式在任何設備上安裝來路不明的根證書，這是你能在電腦/手機上做的幾乎最危(zuo)險(si)的事情。
----
至於那些不加密直接明文傳輸信息的app，你就算在安全的WIFI下使用，信息其實仍然有很大的被竊取的風險，此時你已經可以放棄治療了。看到了 @陶百百的答案，覺得他說的潛在的不安全性是不容忽視的，這裡再簡單補充一下：
- 由於sslstrip攻擊的存在，在公共環境下使用web是存在危險的，請隨時檢查自己是否還處在https狀態下。
- 部分應用錯誤的使用了SSL，造成了潛在的中間人攻擊可能。但是情況並沒有@陶百百說的那麼嚴重。事實上，論文Why Eve and Mallory Love Android指出存在中間人攻擊危險的程序約佔8%。文中指出的這些使用SSL的錯誤，都是一些相對弱智的錯誤，如信任所有的證書，允許所有的域名，等等。這些錯誤，一個正常計算機專業的本科生都不大會犯，有理由相信以阿里的技術水平，應該不存在這些問題。
兩個月前測試過支付寶手機版app，我是不會告訴你只有在傳輸密碼的時候支付寶才用了ssl的，當我看到支付寶大搖大擺的通過http的get方法把我的銀行卡帳號寫到url上傳輸給伺服器的時候，我嚇尿了。:-X
題主的問題涉及兩個方面，一個是手機中的各種錢包，即應用App，另一個是WiFi。
手機錢包App涉及支付產品的標準、協議以及應用商店（App Store），這個我都不是很了解，故無法回答，就說說免費WiFi。先說我個人，我是不會使用免費WiFi的，包括咖啡店裡有密碼或者無密碼的，除了CMCC-FREE。
先來個通俗的比方，你的現金，直接經過一個不認識又聲稱不收任何手續費的人傳遞給你在遠方的親戚那裡，你放心么？
再或者，你的現金，放在密碼箱，或者叫保險箱中，經過一個你不認識的黑社會哥們傳遞給你在遠方的親戚那裡，你放心么？我都不放心，所以我不用免費WiFi。
下面稍微技術點。
不用的原因是我的手機里有很多重要信息（帳號密碼什麼的）是會同步到互聯網上去的，同步的時候app有沒有加密我這些信息我不確定，如果沒加密，那麼在菜鳥黑客的眼中，你和他在同一個WiFi下面他就能拿到你的這些信息。如果這個WiFi是他故意架設在這裡釣魚的，那你的信息就更難逃魔爪。再說app傳輸信息經過了加密的，加密傳輸的方式很多，比如IPsec VPN這類，還分隧道和傳輸兩種模式，在我看來，無論哪種模式，你的數據都會經過黑客架設的WiFi路由，app用什麼加密，加密強度如何我都不確定，所以我不能確定我的數據經過黑客手中是否還安全。
簡單了說就是數據保密性得不到肯定，因為加密措施的不確定。
至於安全WiFi，其實專業的角度講，4G才安全，WiFi不夠安全。
首先，同名WiFi是可以架設的，信號夠強就行，壓過正牌WiFi信號，如CMCC；其次，理論上，驗證界面也能偽造，驗證碼什麼的也不是問題，轉移提交正確密碼就行；再次，在沒有CMCC WiFi的地方架個免費CMCC，你怎麼肯定我就是假的呢？但我個人認為，用錯密碼理論上能驗證出CMCC信號是否是真的。如果WiFi接受了你的錯密碼，那這個信號絕對是假的、偽造的；相反，如果能夠提示你的密碼錯誤，那基本確定CMCC信號是真的。（補充：評論里有人提到假信號會默認第一次為錯誤密碼，所以，那我們就輸入2次錯誤密碼來驗證吧，心好累）
就醬，希望有幫到你。
-------------分割線----------------- 另一位回答者提到的「不加密直接明文傳輸信息的app，你就算在安全的WIFI下使用，信息其實仍然有很大的被竊取的風險」這個是很正確的，不過這個涉及到app是否加密信息和如何加密，以及全互聯網的傳遞者（路由節點），範圍略廣，我就暫且不討論了。他的圖也很好，但還是偏向專業。公鑰私鑰證書這些都是專業術語了，不利於科普大眾。
文中所提的支付寶不具有普遍性，各種錢包中，個人感覺能信任的也就微信和支付寶，但是肯定還有其他。智商稅才是最大的安全隱患。
樓上基本都是從技術角度來說，是否存在電子錢包信息安全並在被動情況下造成損失。就好像在說運動狀態的物體在不受外力作用下到底能不能永遠保持勻速運動。
答案是在理想狀態下，能。當然其實我不知道電子錢包在更多專業的技術角度是否確實存在安全問題。但終究需要一個大前提，理想狀態。而體主如果只是想從技術角度討論這個問題，那麼我這是個沒有幫助的答案了，可以不用繼續往下看了。
從實際角度來看，使用電子錢包中出現利益上的損失可分為主動，被動兩種情況：
信息被盜，或者設備被不安全網路劫持操控等在主人不知情的情況下造成的損失統一可以理解成被動損失。能出現這種情況要麼是從你這盜走大量金錢，又或者可以大批量的從很多小額用戶處盜取總和較大的金錢。無論那一種都至少要構成足以讓警察叔叔注意的犯罪性質行為了。如果你會產生疑問為什麼不能是只盜你幾百塊幾十塊，警察叔叔根本懶得注意的小案件。那麼下面的內容更多就是在說你的了。人家費事研究技術就為盜個幾百塊，根本連技術成本都不夠。有這能力就完全看不上那幾百塊了。
相對被動損失，更多主動損失才是應該注意的，即在錢包主人參與的情況下，造成損失。通過特定的方式篩選出可以在智商上被壓制的你，讓你心甘情願的掏錢，即使可能過後你就後悔了。這種情況如果注意一下還是能發現問題並及時避免的。因為想新招也挺費事的，大多也都是固定套路，要做的無非是更好的篩選出那一波一波不斷長出來待收割的智商稅罷了。要不然你以為那種經常會看到那種看起來蠢到爆的網頁廣告是幹嘛用的，尤其頁游廣告，難道你不會想這麼蠢的遊戲也為有人喜歡玩嗎？（放地圖炮了，誤傷請原諒我呀。）說到這，想到知乎上挺佩服的一個人。無意於評價是非對錯，智商稅這東西，該交的總要有人來收。對吧～ @吳遇安 XD
所以說智商稅才是最大的安全隱患。。在免費WIFI下不能登陸網銀，支付寶等重要賬戶。
在免費WIFI下，賬戶名密碼等信息很容易被截獲
先給那些天真的照本宣科的同學一個提醒：不要以為有個SSL、有個HTTPS、有個RSA就能保證絕對安全。
然後給出簡單通俗的高質量回答：
1.免費Wifi有風險。2.負責任的App，能用技術手段，儘力確保在免費Wifi下的安全。
3.是人就會犯錯，因此即使是負責任的App，遇到某些特殊情況，無論在免費Wifi，還是高安全的私人Wifi下，一樣會遇到安全問題。
4.題主說【有人因為用了免費WiFi支付寶（或者是餘額寶）里的錢就不見了】，這種情況的確存在。原因是多方面的，比如公司內部管理問題、軟硬體Bug、其他因素牽連等等。因此，我在一開始，提醒那些仍在上學或剛畢業不久的同學：不要以為有個SSL、有個HTTPS或有個RSA就能保證絕對安全。
5.就目前來說，自己的私人Wifi的安全性是最高的，原因是可控，但不代表絕對安全，因為它仍然可能存在漏洞。反對第一的那答案。不安全。
不管root不root，某些安全問題與root無關的，比如DHCP的情況下可能自動分配DNS。
這可能直接就是DNS劫持。有一個簡單的方法，凡是要付錢的操作一律關閉wifi，用移動數據，反正付錢的操作也不會消耗多少流量。再說了，即使需要的流量多你難道為了省那點流量就不管資金安全了？只要不碰到偽基站（小概率事件，反正我從沒遇到過），應該不會出問題。
安全不安全，在於這個WiFi是否被人利用， 用來做釣魚，如果是私人的公開WiFi熱點，那麼我情願選擇用自己的數據流量，也不會用這個WiFi，因為我不確定他是不是釣魚WiFi。
釣魚WiFi，就是把路由器刷入惡意釣魚固件，然後可以用宿主設備時時刻刻查看連接WiFi的設備的一舉一動，包括各種密碼，和一些加密或者未加密的數據包。以前和大學同學一起做過這個實驗，很可怕是的，不安全
昨天晚上測試了無線安全，只能說，如果是精心設計的熱點，各種錢包。。 形如虛設，在錢包中你沒法確認是不是SSL狀態，中間人攻擊很簡單，本機建DNS伺服器，瀏覽器還想HTTPS ? 重定向跳轉的時候就劫持了，不多說了。
看到一個回答是說不連接陌生公開WIFI，不過WIFI的策略是SSID相同情況下，自動選擇信號更強的那個，也就是說，我完全可以用BT5跑出WIFI密碼，再準備一個大功率AP，怎麼說呢，就一句話。 沒有絕對的安全。網路中沒有絕對的安全。
會，手機中的安全漏洞時時刻刻存在，一般來說只要流量多，就不要貪小便宜去用免費wifi，免費wifi有時候速度不如3G