Nenhum é inerentemente "mais seguro" — ambos podem ser endurecidos ou deixados abertos. Os modelos de ameaça diferem. Comparação prática.
Wi-Fi (Rede Local Sem Fio)
Superfície de Ataque
- Redes abertas: Zero criptografia. Qualquer um fareja tráfego (Wireshark, bettercap).
- WPA2-Personal (PSK): Vulnerável a ataque de dicionário offline se senha fraca. KRACK (CVE-2017-13077) corrigido mas dispositivos legados existem.
- WPA3-SAE: Forward secrecy, resistente a ataques offline. Melhor padrão atual.
- Evil Twin / Rogue AP: SSID falso com sinal mais forte → MITM.
- WPS PIN: Brute-forceável. Desative no roteador.
Endurecimento
- WPA3 (ou WPA2-AES com senha aleatória 20+ chars).
- Desative WPS, UPnP, admin remoto.
- VLAN separada para IoT.
- Enterprise (802.1X) para orgs.
Aircard / Mobile Hotspot (WWAN Celular)
Superfície de Ataque
- Interface aérea: Criptografia LTE/5G (128-EEA1/2/3, 128-EIA1/2/3). Forte, padronizada, raramente quebrada em campo.
- Firmware do dispositivo: OS do hotspot (Linux/Android reduzido) — CVEs em web UI, DNS, DHCP.
- Clonagem SIM / IMSI catcher (Stingray): Nível Estado-nação. Downgrade para 2G/sem criptografia.
- Backhaul da operadora: Tráfego visível à operadora (interceptação legal). Não criptografado ponta a ponta a menos que adicione VPN.
Endurecimento
- Mude senha admin (não "admin/admin" padrão).
- Ative WPA3 no Wi-Fi do hotspot.
- Desative ping WAN, gerenciamento remoto.
- Use VPN (WireGuard/OpenVPN) nos dispositivos cliente — criptografa além da operadora.
- APN settings: Use APN privada se enterprise.
Lado a Lado
| Fator | Wi-Fi (WPA3) | Aircard (LTE/5G + WPA3) |
|---|
| Criptografia enlace | Forte (SAE) | Forte (celular) + Wi-Fi |
| Atacante local | Alto risco (proximidade) | Baixo risco (celular difícil interceptar) |
| Visibilidade ISP | Total (salvo VPN) | Total (salvo VPN) |
| Risco firmware dispositivo | Roteador (patchável) | Hotspot (frequentemente abandonado) |
| Portabilidade | Fixa | Onde houver sinal |
| Velocidade/Consistência | Alta (backhaul cabeado) | Variável (congestionamento, sinal) |
| Custo | Fixo $/mês | Cotas dados, overage $ |
Recomendação
- Casa/Escritório: Cabeado > Wi-Fi 6/6E/7 (WPA3) > Aircard backup.
- Viagem/Público: Aircard/Hotspot celular (WPA3) > Wi-Fi público + VPN > Wi-Fi público sozinho.
- Modelo alta ameaça: Ambos + VPN + Tor / Mullvad browser + SO endurecido.
Segurança não é a tecnologia — é a configuração e o modelo de ameaça. Endureça o que usar.
